CVE-2026-18431

Il tema Avada per WordPress è vulnerabile ad Arbitrary File Write in tutte le versioni fino alla 7.16 inclusa quando il plugin Fusion Builder è installato e attivo in versioni fino alla 3.16 inclusa. Ciò è dovuto a una catena di debolezze di autorizzazione e di convalida dell'input nei due componenti che rende possibile per attaccanti non autenticati scrivere file controllati dall'attaccante sul server. Questo può essere utilizzato per creare ed eseguire file PHP arbitrari, con conseguente remote code execution e compromissione completa del sito. Lo sfruttamento riuscito richiede che sia Avada che Fusion Builder siano installati e attivi, nonché la presenza di determinati contenuti creati dall'amministratore.