CVE-2026-97670 in Avada Builder Plugin
摘要
由 VulDB • 2026-10-10
WordPress 的 Avada (Fusion) Builder 插件在所有不高于 7.16.1 的版本中存在授权绕过漏洞。该问题是由于插件在分发 WordPress action hook（其名称取自攻击者提供的表单字段值，通过通知邮件 message [field] 占位符和 {action_hook,...} 动态数据令牌）之前未正确验证授权所致。3.16.1 版本的信任门控函数 `is_content_request_supplied()` 仅检查 `$_POST['args']`/`$_GET['args']`，从未检查公共表单提交端点所解析的 `$_POST['formData']`。这使得未经身份验证的攻击者能够调用任意 WordPress action hook（每次请求可多个），从而导致状态变更，直至永久、不可逆地破坏站点内容：经证实，未授权请求通过核心操作 `wp_scheduled_delete` 永久删除了已移至回收站的帖子、页面和评论。其他未被禁止列表包含的钩子将影响范围扩展至拒绝服务（例如 `wp_maybe_auto_update`），并且在安装了易受攻击的第三方处理程序时，还会导致进一步的特权写入。相同的未授权动态数据管道还暴露了一个盲任意用户/文章元数据读取漏洞；读取结果仅发送给站点所有者，无法通过插件自身的邮件/响应路径被攻击者窃取。利用此漏洞需要一个已发布的 Avada 表单（支持 AJAX 提交）以及一个包含 `[all_fields]` 或显式 `[field]` 占位符的通知 `email_message` 模板——这是默认的配置方式。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.