CVE-2026-97670

WordPress üçün Avada (Fusion) Builder plagini 7.16.1 daxil olmaqla bütün versiyalarda autentifikasiyadan yan keçmə zəifliyinə malikdir. Bu, plagin hücum edən tərəfindən təmin edilən forma sahəsi dəyərindən götürülən WordPress action hook-unu göndərməzdən əvvəl səlahiyyətləri düzgün şəkildə yoxlamamasından qaynaqlanır (bildiriş email_message [field] yer tutucusu və {action_hook,...} dinamik məlumat tokeni vasitəsilə; 3.16.1 etibar qapısı olan is_content_request_supplied() yalnız $_POST['args']/$_GET['args'] hissələrini yoxlayır, lakin ictimai forma-göndərmə son nöqtəsinin analiz etdiyi $_POST['formData'] hissəsini heç vaxt yoxlamır). Bu, autentifikasiya olunmamış hücumçulara ixtiyari WordPress action hook-larını çağırmağa (hər sorğu üzrə çox sayda) imkan verir ki, bu da sayt məzmununun daimi və geri dönməz şəkildə məhv edilməsinə qədər dövlət dəyişikliklərinə səbəb olur: təsdiqlənmiş autentifikasiyasız bir sorğu, nüvə wp_scheduled_delete hərəkəti vasitəsilə zibil qutusundakı yazıların, səhifələrin və şərhlərin daimi olaraq silinməsinə səbəb olmuşdur. Qara siyahıya salınmayan digər hook-lar təsir dairəsini xidmətdən imtinaya (məsələn, wp_maybe_auto_update) və zəifliyə malik üçüncü tərəf idarəediciləri quraşdırıldıqda daha yüksək imtiyazlı yazma əməliyyatlarına genişləndirir. Eyni autentifikasiyasız dinamik məlumat boru kəməri əlavə olaraq kor ixtiyari istifadəçi/yazı meta məlumatlarının oxunmasını təmin edir; oxuma nəticəsi yalnız sayt sahibinə çatdırılır və plaginin öz e-poçt/cavab yolları vasitəsilə hücumçu tərəfindən sızdırıla bilmir. İstismar üçün AJAX göndərmə funksiyasına malik dərc edilmiş Avada formasının və email_message şablonuna [all_fields] və ya açıq [field] yer tutucusu daxil olan bildirişin olması tələb olunur - bu, standart forma konfiqurasiyasıdır.