CVE-2026-18431

El tema Avada para WordPress es vulnerable a escritura arbitraria de archivos en todas las versiones hasta la 7.16 incluida cuando el plugin Fusion Builder está instalado y activo en versiones hasta la 3.16 incluida. Esto se debe a una cadena de debilidades de autorización y validación de entradas entre los dos componentes que permite a atacantes no autenticados escribir archivos controlados por el atacante en el servidor. Esto puede utilizarse para crear y ejecutar archivos PHP arbitrarios, lo que resulta en ejecución remota de código y compromiso total del sitio. La explotación exitosa requiere que tanto Avada como Fusion Builder estén instalados y activos, así como que esté presente determinado contenido creado por el administrador.