CVE-2026-12536

Wtyczka Avada (Fusion) Builder dla WordPressa do wersji 7.16.1 włącznie zawiera podatność na obejście autoryzacji. Niezautoryzowany atakujący może wywoływać dowolne hooki akcji WordPressa, wysyłając specjalnie spreparowane żądanie do publicznego punktu końcowego formularza, co może prowadzić do trwałego usunięcia treści (postów, stron, komentarzy) lub innych zmian stanu systemu.

Wtyczka Avada (Fusion) Builder dla WordPressa jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'tab_index, empty_notice' we wszystkich wersjach do 3.16.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej contributor może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie. Funkcja wp_kses_post nie usuwa ładunku przy zapisie, ponieważ niebezpieczne znaki znajdują się w tekście atrybutu shortcode między nawiasami kwadratowymi, które kses traktuje jako zwykły tekst, a nie znaczniki HTML.

Wtyczka Avada (Fusion) Builder dla WordPressa jest podatna na ujawnienie poufnych informacji we wszystkich wersjach do 3.16.1 włącznie poprzez parametr 'args[link_target]'. Nieuwierzytelnieni atakujący mogą wyodrębnić dowolne wartości meta użytkownika dla dowolnego ID użytkownika, w tym adresy e-mail administratorów, nazwy logowania, wp_user_level oraz dane PII klientów WooCommerce, takie jak billing_email, billing_phone i billing_address_1.

Wtyczka Avada (Fusion) Builder dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) poprzez atrybut 'size' w shortcode'ach we wszystkich wersjach do 3.15.6 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wstrzyknąć dowolne skrypty na strony, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Avada (Fusion) Builder dla WordPressa do wersji 3.15.2 włącznie jest podatna na przechowywany atak XSS przez wiele shortcodów. Powodem jest niedostateczne oczyszczanie danych wejściowych i brak odpowiedniego kodowania wyjścia.