CVE-2026-6279

El plugin Avada Builder para WordPress contiene una vulnerabilidad que permite a un atacante sin credenciales de acceso inyectar y ejecutar código PHP malicioso. Esto ocurre porque la clase Fusion_Builder_Conditional_Render_Helper no valida correctamente la entrada del usuario, pasándolo directamente a call_user_func sin verificar su origen o legitimidad. El problema está disponible a través de un punto final AJAX diseñado para usuarios no autenticados, que se puede explotar accediendo a cualquier página pública que contenga ciertos elementos.

Basado en datos públicos de CVE (MITRE/NVD).