CVE-2026-6279

Zusammenfassung

Das Avada Builder (fusion-builder)-Plugin für WordPress ist in Versionen bis einschließlich 3.15.2 anfällig für nicht authentifizierte Remote Code Execution (Remote-Code-Ausführung) durch PHP Function Injection (PHP-Funktionsinjektion). Dies ist auf den Fall `wp_conditional_tags` in `Fusion_Builder_Conditional_Render_Helper::get_value()` zurückzuführen, bei dem angreiferkontrollierte Werte aus einem base64-dekodierten JSON-Blob ohne Allowlist-Validierung direkt an `call_user_func()` übergeben werden. Dies ist durch nicht authentifizierte Angreifer über den AJAX-Endpunkt `fusion_get_widget_markup` ausnutzbar, der über `wp_ajax_nopriv_fusion_get_widget_markup` für nicht privilegierte (nicht authentifizierte) Benutzer registriert ist. Der Endpunkt ist nur durch ein Nonce (`fusion_load_nonce`) geschützt, aber dieses Nonce wird für Benutzer-ID 0 erzeugt und ist deterministisch in der JavaScript-Ausgabe jeder öffentlich zugänglichen Seite offengelegt, die ein Post-Cards-Element (`[fusion_post_cards]`) oder ein Inhaltsverzeichnis-Element (`[fusion_table_of_contents]`) enthält. Dadurch ist es nicht authentifizierten Angreifern möglich, beliebigen Code auf betroffenen Websites auszuführen.

• CVE-2026-6279.pyExploit

  CVE-2026-6279

• CVE-2026-6279Exploit

  CVE-2026-6279: Avada (Fusion) Builder <= 3.15.2 – Nicht authentifizierte Remote-Code-Ausführung durch PHP-Funktionsinjektion über das 'render_logics'-Shortcode-Attribut über den Widget-AJAX-Handler (fusion-builder)