Avada (Fusion) Builder eklentisinde yetkilendirme atlatma açığı kritik seviyede
Yapay zeka üretimi11.10.2026
- CVE
- CVE-2026-97670
- Ciddiyet
- Kritik (CVSS 9.1)
- Firma / ürün
- - / -
Özet
Avada (Fusion) Builder WordPress eklentisinin 7.16.1 ve önceki sürümlerinde yetkilendirme kontrolü eksikliği bulunuyor. Bu durum, kimliği doğrulanmamış saldırganların eklenti üzerinden rastgele WordPress eylem kancalarını çalıştırmasına ve site içeriğini kalıcı olarak silmesine yol açabiliyor.
Ayrıntılar
NVD kaydına göre Avada (Fusion) Builder eklentisi, tüm sürümlerde 7.16.1 dahil, yetkilendirme doğrulaması yapmadan saldırgan tarafından sağlanan form alanı değerini bir WordPress eylem kancası adı olarak kullanıyor. Bu eksik doğrulama, kimliği doğrulanmamış saldırganların rastgele eylem kancalarını (örneğin wp_scheduled_delete) tetikleyerek çöp kutusundaki gönderi, sayfa ve yorumları kalıcı olarak silmesine, hizmet dışı bırakma (DoS) etkisine ve üçüncü taraf eklentilerle birlikte yetkili yazma işlemlerine neden olabiliyor. Açığın ciddiyeti CVSS 9.1 puanı ile kritik olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin. Güncelleme yayınlandığında mümkün olan en kısa sürede uygulayın. Ürüne dışarıdan erişimi mümkün olduğunca sınırlı tutun.