CVE-2026-12256
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Podatność na deserializację niezaufanych danych w ThemeFusion Fusion Builder (fusion-builder) umożliwia wstrzyknięcie obiektów. Problem dotyczy wersji Fusion Builder do 3.15.3.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania złośliwego kodu lub przejęcia kontroli nad witryną WordPress.
Rekomendacja
Zaktualizuj Fusion Builder do wersji nowszej niż 3.15.3, jeśli dostępna, lub zastosuj inne środki zaradcze zalecane przez producenta.
Inne podatności w Fusion Builder
Zobacz wszystkie- CVE-2026-54194Krytyczne
Wersje Fusion Builder do 3.15.4 są podatne na wstrzyknięcie obiektów PHP, co może prowadzić do nieautoryzowanego dostępu lub manipulacji danymi.
- CVE-2026-56008Wysokie
Wtyczka Fusion Builder dla WordPressa w wersji 3.15.4 i starszych zawiera podatność umożliwiającą eskalację uprawnień przez współautorów. Atakujący z rolą współautora może uzyskać nieautoryzowany dostęp do funkcji administracyjnych.
- CVE-2026-54193Wysokie
W wersjach Fusion Builder do 3.15.4 występuje podatność umożliwiająca nieautoryzowane usunięcie plików przez użytkowników z odpowiednimi uprawnieniami.
- CVE-2025-49940Średnie
Fusion Builder do wersji 3.13.2 zawiera podatność na ataki typu DOM-Based XSS, wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Umożliwia to atakującemu wykonanie złośliwego skryptu w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
Deserialization of Untrusted Data vulnerability in ThemeFusion Fusion Builder fusion-builder allows Object Injection.This issue affects Fusion Builder: from n/a through 3.15.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS