CVE-2026-6279: Nieuwierzytelnione RCE we wtyczce WordPress Avada Builder

Podsumowanie

Parametr	Wartość
CVE ID	CVE-2026-6279
Źródło alertu	GitHub Advisory - Krytyczna podatność
Rok publikacji CVE	2026
Data publikacji	2026-05-21
Producent	WordPress
Produkt	Avada Builder (plugin)
CVSS Score	9.8 (Krytyczny)
EPSS Score	Brak danych
CISA KEV	Nie
Ransomware	Nie potwierdzono

Opis podatności

Źródło: NVD

Wtyczka Avada Builder (fusion-builder) dla WordPress jest podatna na nieuwierzytelnione zdalne wykonanie kodu (Unauthenticated Remote Code Execution) poprzez wstrzyknięcie funkcji PHP (PHP Function Injection) w wersjach do 3.15.2 włącznie. Przyczyną jest przypadek wp_conditional_tags w Fusion_Builder_Conditional_Render_Helper::get_value(), który przekazuje kontrolowane przez atakującego wartości z dekodowanego z base64 obiektu JSON bezpośrednio do call_user_func() bez walidacji listy dozwolonych (allowlist). Jest to możliwe do wykorzystania przez nieuwierzytelnionych atakujących poprzez fusion_get_widget_markup.

Wymagane działania

Zastosuj poprawki lub środki zaradcze producenta tak szybko, jak będą dostępne.

Kogo dotyczy?

Podatność dotyczy produktu Avada Builder (plugin) firmy WordPress. Sprawdź czy Twoja organizacja używa tego oprogramowania i czy wymaga aktualizacji.

Źródła

• NVD - CVE-2026-6279

• FIRST EPSS

---

Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.