Vulnerabilidades de ThemeFusion

The Avada (Fusion) Builder plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 7.16.1. This is due to the plugin not properly verifying authorization before dispatching a WordPress action hook whose name is taken from an attacker-supplied form-field value (via the notification email_message [field] placeholder and the {action_hook,...} dynamic-data token; the 3.16.1 trust gate is_content_request_supplied() only inspects $_POST['args']/$_GET['args'], never the $_POST['formData'] the public form-submit endpoint parses). This makes it possible for unauthenticated attackers to invoke arbitrary WordPress action hooks (multiple per request), causing state changes up to permanent, irreversible destruction of site content: a verified unauthenticated request permanently deleted trashed posts, pages, and comments via the core wp_scheduled_delete action. Other non-deny-listed hooks extend the impact to denial of service (e.g. wp_maybe_auto_update) and, where vulnerable third-party handlers are installed, further privileged writes. The same unauthenticated dynamic-data pipeline additionally exposes a blind arbitrary user/post-meta read; the read result is delivered only to the site owner and is not attacker-exfiltrable through the plugin's own email/response paths. Exploitation requires a published Avada form with AJAX submission and a notification whose email_message template includes an [all_fields] or explicit [field] placeholder - the default form configuration.

O plugin Avada (Fusion) Builder para WordPress é vulnerável a exclusão arbitrária de arquivos devido a validação insuficiente de caminhos de arquivo na função maybe_delete_files em todas as versões até a 3.15.3, inclusive. Isso possibilita que atacantes não autenticados excluam arquivos arbitrários no servidor, o que pode facilmente levar à execução remota de código quando o arquivo certo é excluído (como wp-config.php). O ataque requer um formulário Avada publicado configurado para salvar entradas no banco de dados; um atacante não autenticado envia uma carga de path traversal pelo handler wp_ajax_nopriv_fusion_form_submit_ajax e também controla os campos fusion_privacy_expiration_interval e privacy_expiration_action para forçar uma limpeza imediata do tipo 'delete', fazendo com que a entrada criada seja processada automaticamente pela rotina de shutdown-hook Fusion_Form_DB_Privacy sem qualquer interação de administrador.

Contributor PHP Object Injection in Fusion Builder <= 3.15.4 versions.

O plugin Avada Builder (fusion-builder) para WordPress é vulnerável a Execução Remota de Código sem autenticação por meio de Injeção de Função PHP nas versões até a 3.15.2 inclusive. Isso se deve ao caso `wp_conditional_tags` em `Fusion_Builder_Conditional_Render_Helper::get_value()`, que passa valores controlados pelo atacante, provenientes de um blob JSON decodificado em base64, diretamente para `call_user_func()` sem qualquer validação por lista de permissões. Isso é explorável por atacantes não autenticados por meio do endpoint AJAX `fusion_get_widget_markup`, registrado para usuários não privilegiados (não autenticados) via `wp_ajax_nopriv_fusion_get_widget_markup`. O endpoint é protegido apenas por um nonce (`fusion_load_nonce`), mas esse nonce é gerado para o ID de usuário 0 e fica deterministicamente exposto na saída JavaScript de qualquer página pública que contenha um elemento Post Cards (`[fusion_post_cards]`) ou Table of Contents (`[fusion_table_of_contents]`). Isso torna possível que atacantes não autenticados executem código arbitrário em sites afetados.