CVE-2026-18431

Le thème Avada pour WordPress est vulnérable à une écriture arbitraire de fichiers dans toutes les versions jusqu'à la version 7.16 incluse lorsque le plugin Fusion Builder est installé et actif dans les versions jusqu'à la version 3.16 incluse. Cela est dû à une chaîne de faiblesses d'autorisation et de validation des entrées entre les deux composants qui permet à des attaquants non authentifiés d'écrire des fichiers contrôlés par l'attaquant sur le serveur. Cela peut être utilisé pour créer et exécuter des fichiers PHP arbitraires, entraînant une exécution de code à distance et une compromission complète du site. Une exploitation réussie nécessite qu'Avada et Fusion Builder soient tous deux installés et actifs, ainsi que la présence de certains contenus créés par un administrateur.