Avada (Fusion) Builder: Autorisierungsumgehung über Action-Hook im Formularfeld

Zusammenfassung

Das WordPress-Plugin Avada (Fusion) Builder prüft nicht, ob eine Berechtigung vorliegt, bevor es einen WordPress-Action-Hook ausführt, dessen Name aus einem übermittelten Formularfeld stammt. Ein nicht authentifizierter Angreifer kann beliebige Action-Hooks auslösen, wodurch getrashte Beiträge, Seiten und Kommentare dauerhaft gelöscht und Denial-of-Service-Zustände verursacht werden können. Voraussetzung ist ein veröffentlichtes Avada-Formular mit AJAX-Übermittlung und einer Benachrichtigung mit einem [all_fields]- oder [field]-Platzhalter, was der Standardkonfiguration entspricht. Der CVE-Eintrag bewertet die Schwachstelle mit 9.1 (Critical), der betroffene Versionsbereich von Fusion Builder ist jedoch vom Hersteller nicht bestätigt.

Betroffen

• WordPress-Plugin Avada (Fusion) Builder bis einschliesslich 7.16.1 gemäss CVE-Eintrag (CNA-Daten)
• Sekundärquellen nennen Fusion Builder bis einschliesslich 3.16.1; diese Versionsgrenze ist nicht bestätigt
• Standardkonfiguration von Avada Forms mit AJAX-Übermittlung und einer Benachrichtigung mit [all_fields] oder [field]

Behoben in

Unbekannt.

• Sekundärquellen nennen Fusion Builder 3.16.2; nicht durch den Hersteller oder Wordfence bestätigt
• Avada 7.16.2 (Sicherheitsupdate vom 30. September 2026) enthält Korrekturen für die Übermittlung von Avada Forms und die Benachrichtigungs-E-Mails, nennt diese CVE jedoch nicht

Umgehung

• Vom Hersteller ist keine Workaround-Massnahme veröffentlicht.
• Öffentliche Formulare prüfen und Benachrichtigungsfelder entfernen, die übermittelte Daten in E-Mail-Vorlagen einfügen, bis das Update eingespielt ist (eigene Ableitung, keine Herstellerempfehlung).

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn; gemäss der konsultierten Quelle nicht im CISA-KEV-Katalog.
• Kein öffentlicher Proof-of-Concept gefunden. Ein Forscher hat die Auswirkung der Löschung verifiziert.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.

Unsere Empfehlung

• Inventarisieren Sie WordPress-Websites mit Avada und erfassen Sie die Versionen des Avada-Themes und von Fusion Builder.
• Aktualisieren Sie Avada und Fusion Builder auf die neueste Version und prüfen Sie die installierte Fusion-Builder-Version.
• Prüfen Sie öffentliche Formulare auf Benachrichtigungsvorlagen mit [all_fields]- oder [field]-Platzhaltern.
• Leeren Sie den Papierkorb erst nach erfolgreichem Update und halten Sie aktuelle Backups bereit.
• Überwachen Sie unerwartete Löschungen von Inhalten und ungewöhnliche Formularübermittlungen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence advisory www.wordfence.com
• Avada 7.16.2 Security Update avada.com
• VulDB CVE-2026-97670 vuldb.com
• Vulners CVELIST CVE-2026-97670 vulners.com
• Linux Security news on the vulnerability linuxsecurity.com
• OffSeq threat radar entry radar.offseq.com
• WordPress.org support forum thread on patch state wordpress.org
• Strix CVE-2026-97670 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:02.