CVE-2026-8713: Plugin Avada (Fusion) Builder para WordPress - Exclusão Arbitrária de Arquivos por Path Traversal

Visão geral

O registro descreve uma vulnerabilidade de exclusão arbitrária de arquivos no plugin Avada (Fusion) Builder para WordPress. A fraqueza está na função maybe_delete_files, que, segundo o registro, não valida adequadamente os caminhos de arquivo nas versões até a 3.15.3, inclusive. O registro associa o problema a path traversal (CWE-22).

Impacto

O registro afirma que um atacante não autenticado pode conseguir excluir arquivos arbitrários no servidor.
O registro afirma que a exclusão de certos arquivos, como wp-config.php, pode levar facilmente à execução remota de código.
A Wordfence atribui pontuação CVSS 9.1 e o registro classifica a severidade como crítica. O vetor de pontuação indicado no registro aponta alto impacto na integridade e na disponibilidade, sem impacto na confidencialidade.
Inferência: a perda de arquivos de configuração ou de núcleo também pode causar indisponibilidade do site, mesmo sem execução de código.

Produtos e versões afetadas

Produto: plugin Avada (Fusion) Builder para WordPress.
O registro afirma que todas as versões até a 3.15.3, inclusive, são afetadas.
As listas estruturadas de afetados e correções do registro estão vazias, portanto as fontes consultadas não fornecem uma versão corrigida confirmada.

Situação de exploração

A entrada do catálogo KEV da CISA não consta como listada no registro.
Nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas.
O registro descreve condições necessárias para alcançar a falha, incluindo um formulário publicado configurado para salvar entradas no banco de dados. Organizações não devem presumir que essas condições estejam ausentes.

Correção e mitigação

Identifique todos os sites WordPress que usam o plugin Avada (Fusion) Builder e registre as versões instaladas.
Trate qualquer instalação na versão 3.15.3 ou anterior como afetada e verifique no fornecedor ou no repositório do plugin se existe uma versão posterior. O registro não informa uma versão corrigida.
Quando a atualização não for possível de imediato, reduza a exposição limitando ou desativando formulários públicos que armazenam entradas no banco de dados, seguindo a orientação do fornecedor.
Mantenha backups verificados do site, do banco de dados e dos arquivos de configuração para permitir recuperação em caso de dano.
Restrinja as permissões do sistema de arquivos do usuário do servidor web ao mínimo necessário e proteja arquivos de configuração sensíveis.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições incomuns ao handler AJAX de envio de formulários Fusion, especialmente de origens não autenticadas com caracteres de caminho inesperados.
Monitore o desaparecimento ou a modificação inesperada de arquivos centrais do WordPress, incluindo wp-config.php, e gere alertas para alterações.
Verifique a integridade dos arquivos do plugin comparando-os com uma cópia confiável da fonte oficial.
Quando disponível, use monitoramento de integridade de arquivos para detectar exclusões fora de janelas normais de manutenção.

Limitações das informações disponíveis

O registro não lista faixas de versões afetadas ou corrigidas além da afirmação de que versões até a 3.15.3, inclusive, são afetadas.
Não há pontuação EPSS, decisão SSVC ou dados de exploração do KEV no registro.
O registro contém referências a uma entrada de inteligência de ameaças da Wordfence e a uma linha de fonte do repositório de plugins, mas o conteúdo dessas páginas não foi fornecido para esta análise.
O status de origem do registro é Deferred, por isso as informações podem mudar à medida que o CVE for processado.

Perguntas frequentes

Qual é a vulnerabilidade do CVE-2026-8713?

O registro descreve exclusão arbitrária de arquivos no plugin Avada (Fusion) Builder para WordPress, causada por validação insuficiente de caminhos de arquivo. Ela é classificada como path traversal (CWE-22).

Quais versões são afetadas?

O registro afirma que todas as versões até a 3.15.3, inclusive, são afetadas. O registro não informa uma versão corrigida confirmada.

Esta vulnerabilidade está sendo explorada ativamente?

O registro não a lista no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

O que os administradores devem fazer agora?

Identificar as instalações afetadas, verificar com o fornecedor uma versão atualizada, considerar limitar formulários públicos que salvam entradas no banco de dados e manter backups verificados e monitoramento de integridade de arquivos.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.