CVE-2026-1509 in Avada Builder Plugin
要約
〜によって VulDB • 2026年06月18日
WordPress用Avada (Fusion) Builderプラグインには、バージョン3.15.1以前すべてのバージョンにおいて、任意のWordPressアクション実行（Arbitrary WordPress Action Execution）に関する脆弱性が存在します。これは、プラグインの `output_action_hook()` 関数が適切な認可チェックを行わずにユーザー制御の入力を受け取り、登録されている任意のWordPressアクションフックをトリガーするためです。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済み攻撃者は、Dynamic Data機能を通じて任意のWordPressアクションフックを実行することが可能となり、インストール済みのWordPress環境で利用可能なアクションフックに応じて、特権昇格（privilege escalation）、ファイルインクルージョン、サービス妨害（DoS）その他のセキュリティ影響を引き起こす可能性があります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.