CVE-2026-97670

Nome do Software Vulnerável e Versões Afetadas Avada versões anteriores a 7.16.2 Fusion Builder versões anteriores a 3.16.2

Description Existe uma falha de bypass de autorização devido à verificação inadequada antes do disparo de um action hook do WordPress. O problema ocorre quando o nome do hook é derivado de um valor de campo de formulário fornecido por um invasor através do placeholder [field] da email message de notificação e do token de dados dinâmicos {action hook,...}. Isso permite que invasores não autenticados invoquem action hooks arbitrários do WordPress, o que pode levar à destruição permanente do conteúdo do site, como a exclusão de posts, páginas e comentários na lixeira através da ação wp scheduled delete. Além disso, pode causar negação de serviço via wp maybe auto update ou permitir gravações privilegiadas se manipuladores de terceiros vulneráveis estiverem instalados. O mesmo pipeline permite a leitura cega de meta-dados arbitrários de usuários ou posts, embora o resultado seja entregue apenas ao proprietário do site. A exploração requer um formulário Avada publicado com envio AJAX e um modelo de notificação que contenha um placeholder [all fields] ou [field] explícito.

Recommendations Atualize o Avada para a versão 7.16.2 ou posterior. Atualize o Fusion Builder para a versão 3.16.2 ou posterior.