CVE-2026-97670
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- 0.4%
- CWE
- CWE-94
- KEV Durumu
- Hayır
Yayım tarihi: 10 Ekim 2026
Avada (Fusion) Builder eklentisi, WordPress için, 7.16.1 sürümüne kadar olan tüm sürümlerde yetkilendirme atlatma zafiyetine karşı savunmasızdır. Bu, eklentinin bir saldırgan tarafından sağlanan form alanından alınan bir değerden (bildirim email_message [alan] placeholder ve {action_hook,...} dinamik veri tokeni aracılığıyla) alınan bir WordPress eylem kancası adını doğrulamadan önce yetkilendirmeyi düzgün şekilde doğrulamamasından kaynaklanmaktadır (3.16.1 güven kapısı is_content_request_supplied() yalnızca $_POST['args']/$_GET['args'] değerlerini incelemektedir, ancak $_POST['formData'] değerini asla incelememektedir, kamu form-gönderme endpoint'u bu değeri ayrıştırmaktadır). Bu, kimlik doğrulamış saldırganların keyfi WordPress eylem kancalarını çağırmalarına (her istek için birden fazla) olanak tanır, bu da site içeriğinin kalıcı ve geri dönüştürülemez şekilde yok olmasına kadar devlet değişikliklerine neden olur: doğrulanmış kimlik doğrulamış bir istek, çekirdek wp_scheduled_delete eylemi aracılığıyla kalıcı olarak silinmiş gönderiler, sayfalar ve yorumları sildi. Diğer listede olmayan kancalar, hizmet reddi (örneğin wp_maybe_auto_update) ve savunmasız üçüncü taraf işleyiciler kurulduğunda daha fazla ayrıcalıklı yazma etkisine yol açar. Aynı kimlik doğrulamış dinamik veri boru hattı ayrıca kör keyfi kullanıcı/post-meta okunmasını ortaya koyar; okuma sonucu yalnızca site sahibine teslim edilir ve saldırgan tarafından eklentinin kendi e-posta/yanıt yollarıyla çıkarılamaz. Sömürme, yayınlanmış bir Avada formu, AJAX gönderimi ve email_message şablonunda [tüm_alanlar] veya açık [alan] placeholder içeren bir bildirim gerektirir - varsayılan form yapılandırması.
Orijinal açıklama (İngilizce)
The Avada (Fusion) Builder plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 7.16.1. This is due to the plugin not properly verifying authorization before dispatching a WordPress action hook whose name is taken from an attacker-supplied form-field value (via the notification email_message [field] placeholder and the {action_hook,...} dynamic-data token; the 3.16.1 trust gate is_content_request_supplied() only inspects $_POST['args']/$_GET['args'], never the $_POST['formData'] the public form-submit endpoint parses). This makes it possible for unauthenticated attackers to invoke arbitrary WordPress action hooks (multiple per request), causing state changes up to permanent, irreversible destruction of site content: a verified unauthenticated request permanently deleted trashed posts, pages, and comments via the core wp_scheduled_delete action. Other non-deny-listed hooks extend the impact to denial of service (e.g. wp_maybe_auto_update) and, where vulnerable third-party handlers are installed, further privileged writes. The same unauthenticated dynamic-data pipeline additionally exposes a blind arbitrary user/post-meta read; the read result is delivered only to the site owner and is not attacker-exfiltrable through the plugin's own email/response paths. Exploitation requires a published Avada form with AJAX submission and a notification whose email_message template includes an [all_fields] or explicit [field] placeholder - the default form configuration.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.