Base de CVEs

O plugin Avada Builder (fusion-builder) para WordPress é vulnerável a Execução Remota de Código sem autenticação por meio de Injeção de Função PHP nas versões até a 3.15.2 inclusive. Isso se deve ao caso `wp_conditional_tags` em `Fusion_Builder_Conditional_Render_Helper::get_value()`, que passa valores controlados pelo atacante, provenientes de um blob JSON decodificado em base64, diretamente para `call_user_func()` sem qualquer validação por lista de permissões. Isso é explorável por atacantes não autenticados por meio do endpoint AJAX `fusion_get_widget_markup`, registrado para usuários não privilegiados (não autenticados) via `wp_ajax_nopriv_fusion_get_widget_markup`. O endpoint é protegido apenas por um nonce (`fusion_load_nonce`), mas esse nonce é gerado para o ID de usuário 0 e fica deterministicamente exposto na saída JavaScript de qualquer página pública que contenha um elemento Post Cards (`[fusion_post_cards]`) ou Table of Contents (`[fusion_table_of_contents]`). Isso torna possível que atacantes não autenticados executem código arbitrário em sites afetados.