CVE-2026-97471
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka Avada (Fusion) Builder dla WordPressa jest podatna na ujawnienie poufnych informacji we wszystkich wersjach do 3.16.1 włącznie poprzez parametr 'args[link_target]'. Nieuwierzytelnieni atakujący mogą wyodrębnić dowolne wartości meta użytkownika dla dowolnego ID użytkownika, w tym adresy e-mail administratorów, nazwy logowania, wp_user_level oraz dane PII klientów WooCommerce, takie jak billing_email, billing_phone i billing_address_1.
Ocena ryzyka
Ujawnienie danych osobowych i identyfikatorów logowania może prowadzić do naruszenia prywatności, ataków phishingowych i dalszych prób przejęcia kont.
Rekomendacja
Zaktualizuj wtyczkę Avada (Fusion) Builder do wersji nowszej niż 3.16.1 i rozważ ograniczenie dostępu do endpointu oraz rotację ujawnionych danych uwierzytelniających.
Inne podatności w Avada (Fusion) Builder
Zobacz wszystkie- CVE-2026-97670Krytyczne
Wtyczka Avada (Fusion) Builder dla WordPressa do wersji 7.16.1 włącznie zawiera podatność na obejście autoryzacji. Niezautoryzowany atakujący może wywoływać dowolne hooki akcji WordPressa, wysyłając specjalnie spreparowane żądanie do publicznego punktu końcowego formularza, co może prowadzić do trwałego usunięcia treści (postów, stron, komentarzy) lub innych zmian stanu systemu.
- CVE-2026-16654Średnie
Wtyczka Avada (Fusion) Builder dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) poprzez atrybut 'size' w shortcode'ach we wszystkich wersjach do 3.15.6 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wstrzyknąć dowolne skrypty na strony, które wykonają się przy każdej wizycie użytkownika.
- CVE-2026-12536Średnie
Wtyczka Avada (Fusion) Builder dla WordPress jest podatna na przechowywany atak XSS poprzez parametr 'Module Title' we wszystkich wersjach do 3.15.5 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
- CVE-2026-1543Średnie
Wtyczka Avada (Fusion) Builder dla WordPressa do wersji 3.15.2 włącznie jest podatna na przechowywany atak XSS przez wiele shortcodów. Powodem jest niedostateczne oczyszczanie danych wejściowych i brak odpowiedniego kodowania wyjścia.
Oryginalny opis (angielski, źródło NVD)
The Avada (Fusion) Builder plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 3.16.1 via the 'args[link_target]' parameter. This makes it possible for unauthenticated attackers to extract arbitrary user meta values for any user ID, including administrator email addresses, login names, wp_user_level, and WooCommerce customer PII such as billing_email, billing_phone, and billing_address_1. The awb-instagram-nonce required to trigger this endpoint is printed in plaintext in fusionInstagramVars on any page rendering the [fusion_instagram] shortcode, making it harvestable by any anonymous visitor before the exploit request is sent.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS