CVE-2026-97670

WordPress için geliştirilen Avada (Fusion) Builder eklentisi, 7.16.1 sürümü dahil olmak üzere tüm sürümlerde kimlik doğrulama atlatma zafiyetine sahiptir. Bu durum, saldırgan tarafından sağlanan bir form alanı değerinden alınan isimdeki WordPress action hook'u tetiklemeden önce eklentinin yetkilendirmeyi düzgün şekilde doğrulamamasından kaynaklanmaktadır (notification email_message [field] yer tutucusu ve {action_hook,...} dinamik veri belirteci aracılığıyla; 3.16.1 güven kapısı olan is_content_request_supplied() yalnızca $_POST['args']/$_GET['args'] kısımlarını denetlemekte, genel form gönderim uç noktasının ayrıştırdığı $_POST['formData'] kısmını asla denetlememektedir). Bu durum, kimliği doğrulanmamış saldırganların rastgele WordPress action hook'larını (istek başına birden fazla) çağırmasını mümkün kılarak, site içeriğinin kalıcı ve geri döndürülemez şekilde yok edilmesine kadar varan durum değişikliklerine yol açabilmektedir: Doğrulanmış kimliksiz bir istek, çekirdek wp_scheduled_delete işlemi aracılığıyla çöp kutusundaki yazıları, sayfaları ve yorumları kalıcı olarak silmiştir. Yasaklı listesinde olmayan diğer hook'lar, etkiyi hizmet reddi (örneğin wp_maybe_auto_update) ve savunmasız üçüncü taraf işleyicilerin yüklü olduğu durumlarda daha ayrıcalıklı yazma işlemlerine kadar genişletmektedir. Aynı kimliksiz dinamik veri hattı ek olarak kör rastgele kullanıcı/yazı meta verisi okumasına olanak tanımaktadır; okuma sonucu yalnızca site sahibine iletilmekte olup eklentinin kendi e-posta/yanıt yolları üzerinden saldırgan tarafından sızdırılamamaktadır. İstismar için, AJAX gönderimine sahip yayınlanmış bir Avada formu ve email_message şablonu [all_fields] veya açık bir [field] yer tutucusu içeren bir bildirimin bulunması gerekmektedir - bu varsayılan form yapılandırmasıdır.