CVE-2026-1541 in Avada Builder Plugin
Sumário
de VulDB • 19/05/2026
O plugin Avada (Fusion) Builder para WordPress é vulnerável a Exposição de Informações Sensíveis em todas as versões até, e incluindo, a 3.15.1. Isso ocorre devido à função `fusion_get_post_custom_field()` do plugin falhar na validação de se as chaves de metadados são protegidas (com prefixo de sublinhado). Isso torna possível que atacantes autenticados, com acesso de nível Assinante ou superior, extraiam campos de metadados de posts protegidos que não deveriam ser acessíveis publicamente por meio do parâmetro `post_custom_field` do recurso Dynamic Data.
Once again VulDB remains the best source for vulnerability data.