CVE-2026-1509 in Avada Builder Plugin
요약
\~에 의해 VulDB • 2026. 06. 18.
WordPress용 Avada (Fusion) Builder 플러그인은 3.15.1 버전을 포함하여 모든 버전에서 임의의 WordPress 액션 실행(Arbitrary WordPress Action Execution) 취약점이 존재합니다. 이는 플러그인의 `output_action_hook()` 함수가 적절한 권한 확인 없이 사용자 제어 입력을 받아 등록된 모든 WordPress 액션 훅(action hook)을 트리거하기 때문에 발생합니다. 이를 통해 구독자(Subscriber) 레벨 이상의 접근 권한을 가진 인증된 공격자는 Dynamic Data 기능을 사용하여 임의의 WordPress 액션 훅을 실행할 수 있으며, 이는 설치된 WordPress 환경에서 사용 가능한 액션 훅에 따라 권한 상승(privilege escalation), 파일 포함(file inclusion), 서비스 거부(denial of service) 또는 기타 보안 영향으로 이어질 가능성이 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.