PT-2026-40583 · WordPress · Avada Builder

Rafie Muhammad · Publicado 2026-05-13 · Atualizado 2026-05-18 · CVE-2026-4782

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Avada Builder versões anteriores a 3.15.3

Descrição Um problema de leitura arbitrária de arquivos existe no plugin Avada Builder para WordPress. Atacantes autenticados com nível de acesso Assinante (Subscriber) ou superior podem ler arquivos arbitrários no servidor, potencialmente expondo informações sensíveis. Isso é possível através da função fusion get svg from file() usando o parâmetro custom svg dentro do shortcode 'fusion section separator'.

Recomendações Atualize para a versão 3.15.3. Como medida paliativa temporária, restrinja o acesso à função fusion get svg from file() ou ao parâmetro custom svg no shortcode 'fusion section separator'.

Correção

Enumeração de Fraquezas

CWE-36

Identificadores relacionados

CVE-2026-4782

Produtos afetados

Avada Builder

Referências · 11

• https://twitter.com/DFIR_Radar/status/2054397326446481686 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-4782 · Nota de Segurança
• https://i.redd.it/a2hencyj3z0h1.png · Publicação no Reddit
• https://t.me/CVEtracker/53643 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2054642722560966749 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/86346be9-7ca6-49b7-83b2-01a335d48c94?source=cve · Nota
• https://themeforest.net/item/avada-responsive-multipurpose-theme/2833226 · Nota
• https://twitter.com/aviatrixtrc/status/2055438631565738252 · Publicação no Twitter
• https://twitter.com/jnrmanagement/status/2056358671765094513 · Publicação no Twitter
• https://twitter.com/cybernewslive/status/2055428862754820138 · Publicação no Twitter
• https://reddit.com/r/managedwphost/comments/1tf5weu/critical_vulnerabilities_found_in_avada_builder · Publicação no Reddit