CVE-2026-54194
La extensión Avada (Fusion) Builder para WordPress es vulnerable a la inyección de objetos PHP en versiones hasta y incluyendo 3.15.4 mediante la deserialización de entrada no confiable. Esto permite que los atacantes autenticados, con acceso al nivel de contribuidor y por encima, inyecten un objeto PHP. No se ha encontrado una cadena POP presente en el software vulnerable. Si una cadena POP está presente a través de una extensión adicional o un tema instalado en el sistema objetivo, podría permitir que el atacante elimine archivos arbitrarios, recupere datos sensibles o ejecute código.
Traducción automática del texto original de la fuente. Ver original
Fuente: Wordfence