CVE-2026-18431
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Motyw Avada dla WordPressa do wersji 7.16 włącznie jest podatny na Arbitrary File Write, gdy zainstalowany i aktywny jest plugin Fusion Builder w wersji do 3.16 włącznie. Łańcuch słabości autoryzacji i walidacji danych wejściowych umożliwia niezalogowanym atakującym zapisywanie plików na serwerze, co może prowadzić do zdalnego wykonania kodu i całkowitej kompromitacji strony. Wymagana jest obecność obu komponentów oraz określonej treści utworzonej przez administratora.
Ocena ryzyka
Organizacja narażona jest na całkowitą kompromitację strony WordPress, w tym wykonanie złośliwego kodu i kradzież danych.
Rekomendacja
Zaktualizuj motyw Avada i plugin Fusion Builder do najnowszych wersji. Usuń nieużywane treści administratora i monitoruj integralność plików.
Inne podatności w Avada
Zobacz wszystkie- CVE-2026-97340Średnie
Motyw Avada dla WordPress i WooCommerce jest podatny na trwałe skrypty krzyżowe (Stored XSS) poprzez pola kontaktowe w profilu użytkownika (author_facebook, author_twitter, author_linkedin, author_dribble, author_whatsapp, author_email) w wersjach do 7.16.1 włącznie. Pola te są emitowane w atrybucie href bez odrzucania niebezpiecznych schematów URL, takich jak javascript:.
- CVE-2026-84925Średnie
Motyw Avada dla WordPressa (Website Builder For WordPress & WooCommerce) jest podatny na odzwierciedlony Cross-Site Scripting (XSS) przez parametr 'lang' we wszystkich wersjach do 7.16.1 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link.
- CVE-2025-58922Średnie
Podatność Cross-Site Request Forgery (CSRF) w motywie Avada od ThemeFusion. Umożliwia atakującemu wykonanie nieautoryzowanych żądań w imieniu zalogowanego administratora. Dotyczy wersji przed 7.13.2.
Oryginalny opis (angielski, źródło NVD)
The Avada theme for WordPress is vulnerable to Arbitrary File Write in all versions up to, and including, 7.16 when the Fusion Builder plugin is installed and active in versions up to, and including, 3.16. This is due to a chain of authorization and input validation weaknesses across the two components that makes it possible for unauthenticated attackers to write attacker-controlled files to the server. This can be used to create and execute arbitrary PHP files, resulting in remote code execution and complete site compromise. Successful exploitation requires both Avada and Fusion Builder to be installed and active, as well as certain administrator-authored content to be present.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS