CVE-2026-6279
Avada (Fusion) Builder <= 3.15.2 - Nicht authentifizierte Remote-Codeausführung durch PHP-Funktionsinjektion über das Shortcode-Attribut 'render_logics' im Widget-AJAX-Handler
- Veröffentlicht
- 21.05.2026
- Aktualisiert
- 21.05.2026
- CNA zuweisen
- Wordfence
- Beweise beobachtet
- 08.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HNiedrig · nächste 30 Tage
- Perzentil
- 83,6 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Das Avada Builder (fusion-builder)-Plugin für WordPress ist in Versionen bis einschließlich 3.15.2 anfällig für nicht authentifizierte Remote Code Execution (Remote-Code-Ausführung) durch PHP Function Injection (PHP-Funktionsinjektion). Dies ist auf den Fall `wp_conditional_tags` in `Fusion_Builder_Conditional_Render_Helper::get_value()` zurückzuführen, bei dem angreiferkontrollierte Werte aus einem base64-dekodierten JSON-Blob ohne Allowlist-Validierung direkt an `call_user_func()` übergeben werden. Dies ist durch nicht authentifizierte Angreifer über den AJAX-Endpunkt `fusion_get_widget_markup` ausnutzbar, der über `wp_ajax_nopriv_fusion_get_widget_markup` für nicht privilegierte (nicht authentifizierte) Benutzer registriert ist. Der Endpunkt ist nur durch ein Nonce (`fusion_load_nonce`) geschützt, aber dieses Nonce wird für Benutzer-ID 0 erzeugt und ist deterministisch in der JavaScript-Ausgabe jeder öffentlich zugänglichen Seite offengelegt, die ein Post-Cards-Element (`[fusion_post_cards]`) oder ein Inhaltsverzeichnis-Element (`[fusion_table_of_contents]`) enthält. Dadurch ist es nicht authentifizierten Angreifern möglich, beliebigen Code auf betroffenen Websites auszuführen.
Quellen
- CVE-2026-6279.pyExploit
CVE-2026-6279
- CVE-2026-6279Exploit
CVE-2026-6279: Avada (Fusion) Builder <= 3.15.2 – Nicht authentifizierte Remote-Code-Ausführung durch PHP-Funktionsinjektion über das 'render_logics'-Shortcode-Attribut über den Widget-AJAX-Handler (fusion-builder)
- CVE-2026-6279Exploit
CVE-2026-6279 — Avada Builder <= 3.15.2 Nicht authentifizierte RCE über call_user_func()
Proof-of-concept or exploit implementation for CVE-2026-6279, providing vulnerability validation for security researchers and penetration testers.
Exploit-Code für CVE-2026-6279, ein Proof-of-Concept, der die Schwachstelle demonstriert.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.