WordPress için Avada (Fusion) Builder eklentisi, 3.15.3'e kadar olan tüm sürümlerde Maybe_delete_files işlevinde yetersiz dosya yolu doğrulaması nedeniyle rastgele dosya silinmesine karşı savunmasızdır. Bu, kimliği doğrulanmamış saldırganların sunucudaki rastgele dosyaları silmesine olanak tanır; bu da, doğru dosya silindiğinde (wp-config.php gibi) kolayca uzaktan kod yürütülmesine yol açabilir. Saldırı, girişleri veritabanına kaydetmek için yapılandırılmış, yayınlanmış bir Avada formu gerektirir; Kimliği doğrulanmamış bir saldırgan, wp_ajax_nopriv_fusion_form_submit_ajax işleyicisi aracılığıyla bir yol geçiş verisi gönderir ve aynı zamanda fusion_privacy_expiration_interval ve gizlilik_expiration_action alanlarını da kontrol ederek anında bir 'silme' temizliğini zorlar ve yerleştirilen girişin herhangi bir yönetici etkileşimi olmadan Fusion_Form_DB_Privacy kapatma kancası rutini tarafından otomatik olarak işlenmesine neden olur.
The Avada (Fusion) Builder plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the maybe_delete_files function in all versions up to, and including, 3.15.3. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). The attack requires a published Avada form configured to save entries to the database; an unauthenticated attacker submits a path-traversal payload via the wp_ajax_nopriv_fusion_form_submit_ajax handler while also controlling the fusion_privacy_expiration_interval and privacy_expiration_action fields to force an immediate 'delete' cleanup, causing the planted entry to be automatically processed by the Fusion_Form_DB_Privacy shutdown-hook routine without any administrator interaction.