Udnyttet sårbarhed
theme-fusion avada_builder Improper Control of Generation of Code ('Code Injection')
Avada (Fusion) Builder plugin til WordPress er sårbar over for authorization bypass i alle versioner op til og inklusive 7.16.1. Dette skyldes at plugin ikke ordentligt verificerer authorization før dispatching af en WordPress action hook hvis navn er taget fra en angriber-leveret form-field værdi (via notification email_message [field] placeholder og {action_hook,...} dynamic-data token; 3.16.1 trust gate is_content_request_supplied() inspicerer kun $_POST['args']/$_GET['args'], aldrig $_POST['formData'] som den offentlige form-submit endpoint parser). Dette gør det muligt for uauthentificerede angribere at påkalde vilkårlige WordPress action hooks (flere pr. request), forårsagede state changes op til permanent, irreversibel ødelæggelse af site indhold: en verified uauthentificeret request permanent slettede trashed posts, pages og comments via core wp_scheduled_delete action. Andre non-deny-listed hooks udvider impactent til denial of service (f.eks. wp_maybe_auto_update) og, hvor sårbars third-party handlers er installeret, yderligere privilegeret writes. Den samme uauthentificerede dynamic-data pipeline eksponerer desuden en blind arbitrary user/post-meta read; read resultatet bliver leveret kun til site ejeren og er ikke angriber-exfiltrérbar gennem pluginets egne email/response stier. Exploitation kræver en published Avada form med AJAX submission og en notification hvis email_message template inkluderer en [all_fields] eller eksplicit [field] placeholder - default form konfiguration.
Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.
Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD