CVE-2026-4782

总结

WordPress 的 Avada Builder 插件在所有版本（包括 3.15.2）中，通过 'fusion_section_separator' 短代码的 'custom_svg' 参数中的 'fusion_get_svg_from_file' 函数，存在任意文件读取漏洞。这使得经过身份验证的攻击者（具有订阅者级别及以上访问权限）能够读取服务器上任意文件的内容，其中可能包含敏感信息。该漏洞已在 3.15.2 版本中部分修复，并在 3.15.3 版本中完全修复。

• CVE-2026-4782PoC

  针对 CVE-2026-4782 的概念验证利用代码，演示该漏洞并提供可工作的利用代码，用于安全测试与验证。