CVE-2026-1541

Name of the Vulnerable Software and Affected Versions Avada (Fusion) Builder versões anteriores a 3.15.2

Description O plugin contém um problema de exposição de informações sensíveis. A função fusion get post custom field() não valida se as chaves de metadados são protegidas por um prefixo de sublinhado. Isso permite que atacantes autenticados com nível de acesso Assinante (Subscriber) ou superior extraiam campos de metadados de postagens protegidos por meio do parâmetro post custom field do recurso Dynamic Data.

Recommendations Atualize para uma versão posterior a 3.15.1.