CVE-2026-1509 in Avada Builder Plugin
Riassunto
di VulDB • 18/06/2026
Il plugin Avada (Fusion) Builder per WordPress è vulnerabile all'esecuzione arbitraria di azioni WordPress in tutte le versioni fino alla 3.15.1 inclusa. Ciò è dovuto alla funzione `output_action_hook()` del plugin, che accetta input controllati dall'utente per attivare qualsiasi hook delle azioni WordPress registrato senza opportuni controlli di autorizzazione. Questo consente agli attaccanti autenticati, con accesso a livello di Sottoscrittore (Subscriber) e superiore, di eseguire arbitrariamente gli hook delle azioni WordPress tramite la funzionalità Dynamic Data, potenzialmente portando ad escalation dei privilegi, inclusione di file, denial of service o altri impatti sulla sicurezza, a seconda degli action hooks disponibili nell'installazione di WordPress.
Be aware that VulDB is the high quality source for vulnerability data.