CVE-2026-6279

Résumé

Le plugin Avada Builder (fusion-builder) pour WordPress est vulnérable à une exécution de code à distance non authentifiée via une injection de fonctions PHP dans les versions jusqu'à 3.15.2 incluse. Cela est dû au cas `wp_conditional_tags` dans `Fusion_Builder_Conditional_Render_Helper::get_value()` qui transmet des valeurs contrôlées par l'attaquant provenant d'un blob JSON décodé en base64 directement à `call_user_func()` sans aucune validation de liste blanche. Cette faille est exploitable par des attaquants non authentifiés via le point de terminaison AJAX `fusion_get_widget_markup`, qui est enregistré pour les utilisateurs non privilégiés (non authentifiés) via `wp_ajax_nopriv_fusion_get_widget_markup`. Le point de terminaison n'est protégé que par un nonce (`fusion_load_nonce`), mais ce nonce est généré pour l'ID utilisateur 0 et est exposé de manière déterministe dans la sortie JavaScript de toute page publique contenant un élément Post Cards (`[fusion_post_cards]`) ou Table of Contents (`[fusion_table_of_contents]`). Cela permet à des attaquants non authentifiés d'exécuter du code arbitraire sur les sites concernés.

• CVE-2026-6279.pyExploit

  CVE-2026-6279

• CVE-2026-6279Exploit

  CVE-2026-6279 : Avada (Fusion) Builder <= 3.15.2 – Exécution de code à distance non authentifiée via injection de fonction PHP via l'attribut de shortcode « render_logics » via le gestionnaire AJAX de widget (fusion-builder)