CVE-2026-18431
CRITICAL(9.8)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CVSS 9.8 — Kritisch
EPSS-Score
0.9%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
9.8
Technische Schwere
SecBoard-Einordnung
CVE-2026-18431 betrifft das Avada-Theme für WordPress in allen Versionen bis einschließlich 7.16, wenn das Fusion Builder Plugin bis einschließlich Version 3.16 installiert und aktiv ist. Die Schwachstelle ermöglicht unauthentifizierten Angreifern das Schreiben beliebiger Dateien auf den Server, was zu Remote Code Execution (RCE) und vollständiger Kompromittierung der Website führen kann. Dies ist auf eine Kette von Autorisierungs- und Eingabevalidierungsschwächen in beiden Komponenten zurückzuführen. Die erfolgreiche Ausnutzung erfordert die Installation und Aktivierung beider Komponenten sowie bestimmte vom Administrator erstellte Inhalte. Mit einem CVSS-Score von 9.8 (CRITICAL) ist diese Schwachstelle als äußerst kritisch einzustufen. Obwohl die EPSS-Wahrscheinlichkeit mit 1% derzeit niedrig ist und die Schwachstelle nicht in CISAs KEV-Katalog aufgeführt wird, deutet die Möglichkeit der Remote Code Execution auf ein hohes potenzielles Risiko hin. Security-Teams sollten umgehend prüfen, ob das Avada-Theme in Verbindung mit dem Fusion Builder Plugin auf ihren WordPress-Instanzen eingesetzt wird. Eine schnelle Aktualisierung auf gepatchte Versionen beider Komponenten ist dringend erforderlich, um das Risiko einer vollständigen Kompromittierung zu minimieren. Bis zur Anwendung von Patches sollten gegebenenfalls temporäre Mitigationen oder eine Deaktivierung der betroffenen Komponenten in Betracht gezogen werden.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
The Avada theme for WordPress is vulnerable to Arbitrary File Write in all versions up to, and including, 7.16 when the Fusion Builder plugin is installed and active in versions up to, and including, 3.16. This is due to a chain of authorization and input validation weaknesses across the two components that makes it possible for unauthenticated attackers to write attacker-controlled files to the server. This can be used to create and execute arbitrary PHP files, resulting in remote code execution and complete site compromise. Successful exploitation requires both Avada and Fusion Builder to be installed and active, as well as certain administrator-authored content to be present.