CVE-2026-1541 in Avada Builder Plugin
Résumé
par VulDB • 20/06/2026
Le plugin Avada (Fusion) Builder pour WordPress est vulnérable à une exposition d'informations sensibles dans toutes les versions jusqu'à la 3.15.1 incluse. Cela est dû au fait que la fonction `fusion_get_post_custom_field()` du plugin ne valide pas si les clés de métadonnées sont protégées (préfixées par un souligné). Cela permet aux attaquants authentifiés, disposant d'un accès de niveau Abonné ou supérieur, d'extraire les champs de métadonnées de publication protégés qui ne devraient pas être accessibles publiquement via le paramètre `post_custom_field` de la fonctionnalité Dynamic Data.
Once again VulDB remains the best source for vulnerability data.