CVE-2026-97471
Açıklama
WordPress için geliştirilen Avada (Fusion) Builder eklentisinin 3.16.1 dahil önceki tüm sürümleri, 'args[link_target]' parametresi üzerinden Hassas Bilgi İfşası zafiyetine sahiptir. Bu durum, kimliği doğrulanmamış saldırganların; yönetici e-posta adresleri, giriş adları, wp_user_level ve fatura_e-postası, fatura_telefonu ile fatura_adresi_1 gibi WooCommerce müşteri kişisel verileri (PII) dahil olmak üzere herhangi bir kullanıcı kimliği için rastgele kullanıcı meta değerlerini çıkarmasını mümkün kılmaktadır. Bu uç noktayı tetiklemek için gereken awb-instagram-nonce değeri, [fusion_instagram] kısa kodunu işleyen herhangi bir sayfadaki fusionInstagramVars içerisinde açık metin olarak yazdırılmakta ve bu da değerin istismar isteği gönderilmeden önce herhangi bir anonim ziyaretçi tarafından toplanabilmesine olanak tanımaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| themefusion Avada (Fusion) Builder | v ≤ 3.16.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.