CVE-2026-18431

Das Avada-Theme für WordPress ist anfällig für Arbitrary File Write in allen Versionen bis einschließlich 7.16, wenn das Fusion Builder-Plugin in Versionen bis einschließlich 3.16 installiert und aktiv ist. Dies ist auf eine Kette von Schwächen bei der Autorisierung und der Eingabevalidierung über beide Komponenten hinweg zurückzuführen, die es nicht authentifizierten Angreifern ermöglicht, vom Angreifer kontrollierte Dateien auf den Server zu schreiben. Dies kann verwendet werden, um beliebige PHP-Dateien zu erstellen und auszuführen, was zu Remote Code Execution und einer vollständigen Kompromittierung der Website führt. Eine erfolgreiche Ausnutzung erfordert, dass sowohl Avada als auch Fusion Builder installiert und aktiv sind und dass bestimmte vom Administrator erstellte Inhalte vorhanden sind.