CVE-2026-18431
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Motyw Avada dla WordPressa do wersji 7.16 włącznie jest podatny na Arbitrary File Write, gdy zainstalowany i aktywny jest plugin Fusion Builder w wersji do 3.16 włącznie. Łańcuch słabości autoryzacji i walidacji danych wejściowych umożliwia niezalogowanym atakującym zapisywanie plików na serwerze, co może prowadzić do zdalnego wykonania kodu i całkowitej kompromitacji strony. Wymagana jest obecność obu komponentów oraz określonej treści utworzonej przez administratora.
Ocena ryzyka
Organizacja narażona jest na całkowitą kompromitację strony WordPress, w tym wykonanie złośliwego kodu i kradzież danych.
Rekomendacja
Zaktualizuj motyw Avada i plugin Fusion Builder do najnowszych wersji. Usuń nieużywane treści administratora i monitoruj integralność plików.
Oryginalny opis (angielski, źródło NVD)
The Avada theme for WordPress is vulnerable to Arbitrary File Write in all versions up to, and including, 7.16 when the Fusion Builder plugin is installed and active in versions up to, and including, 3.16. This is due to a chain of authorization and input validation weaknesses across the two components that makes it possible for unauthenticated attackers to write attacker-controlled files to the server. This can be used to create and execute arbitrary PHP files, resulting in remote code execution and complete site compromise. Successful exploitation requires both Avada and Fusion Builder to be installed and active, as well as certain administrator-authored content to be present.