CVE-2026-4782
Publiée le 2026-05-13 · Dernière modification le 2026-06-17
Les sites WordPress utilisant la version 3.15.2 ou une version antérieure de l'extension Avada Builder sont vulnérables à une faille de lecture arbitraire de fichiers. Tout utilisateur connecté disposant de permissions de base (niveau Abonné) peut exploiter cette faille via le réseau pour lire des fichiers sensibles directement sur votre serveur. Puisque cela nécessite un compte valide, mais aucun privilège administratif particulier ni interaction de l'utilisateur, il est relativement facile pour un utilisateur de bas niveau de voler des données de configuration ou des fichiers système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Avada Builder plugin for WordPress is vulnerable to Arbitrary File Read in all versions up to, and including, 3.15.2 via the 'fusion_get_svg_from_file' function with the 'custom_svg' parameter of the 'fusion_section_separator' shortcode. This makes it possible for authenticated attackers, with Subscriber-level access and above, to read the contents of arbitrary files on the server, which can contain sensitive information. The vulnerability was partially patched in version 3.15.2 and fully patched in version 3.15.3.