PT-2026-32995 · WordPress · Avada Builder

Craig Smith · Publicado 2026-04-15 · Atualizado 2026-04-15 · CVE-2026-1541

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Name of the Vulnerable Software and Affected Versions Avada (Fusion) Builder versões anteriores a 3.15.2

Description O plugin contém um problema de exposição de informações sensíveis. A função fusion get post custom field() não valida se as chaves de metadados são protegidas por um prefixo de sublinhado. Isso permite que atacantes autenticados com nível de acesso Assinante (Subscriber) ou superior extraiam campos de metadados de postagens protegidos por meio do parâmetro post custom field do recurso Dynamic Data.

Recommendations Atualize para uma versão posterior a 3.15.1.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-1541

Produtos afetados

Avada Builder

Referências · 4

• https://twitter.com/CVEnew/status/2044338851993587873 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-1541 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/f1f69f93-80e3-434d-98a6-fc8757b4e6d1?source=cve · Nota
• https://themeforest.net/item/avada-responsive-multipurpose-theme/2833226 · Nota