漏洞速览
- 漏洞编号：
CVE-2026-97670 - 风险评分：
9.1（严重） - 首次披露：2026-10-09
- 最近更新：2026-10-09
- 软件类型：插件
- 软件标识：
fusion-builder - 受影响版本：<= 7.16.1
- 修复版本：7.16.2
- 是否已修复：是
漏洞详情
WordPress的Avada（Fusion）Builder插件在7.16.1及之前的所有版本中存在授权绕过漏洞。 该漏洞的根本原因是插件在调度WordPress动作钩子（action hook）前未对用户权限进行严格校验，而动作钩子的名称直接取自攻击者通过表单字段提供的值（通过通知邮件的email_message占位符[field]以及{action_hook,…}动态数据令牌；3.16.1版本的信任检查函数is_content_request_supplied()仅检查$_POST['args']或$_GET['args']，从不检查公开表单提交端点解析得到的$_POST['formData']）。
因此，未登录的攻击者可调用任意WordPress动作钩子（一次请求可触发多个），从而导致站点状态变化，最严重的情况下可永久、不可逆地删除站点内容：经证实，未认证请求利用核心wp_scheduled_delete动作永久删除了回收站中的文章、页面和评论。 其它未被列入黑名单的钩子还能导致拒绝服务（如wp_maybe_auto_update），并在存在脆弱的第三方处理程序时进一步实现特权写入。 同样的未授权动态数据通道还会导致盲目的任意用户/文章元数据读取，读取结果仅发送给站点管理员，攻击者无法通过插件的邮件或响应路径将其外泄。
要利用此漏洞，需要一个已发布的Avada表单开启AJAX提交，并且通知的email_message模板中包含[all_fields]或显式的[field]占位符——这正是表单的默认配置。
影响与风险
- 漏洞类型：Unauthenticated Arbitrary WordPress Action Invocation via '{action_hook}' Dynamic-Data Token in Form Field
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
修复建议
- 按官方建议执行修复：更新至 7.16.2 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
评论0 注意：评论区不审核也不处理售后问题！如有售后问题请前往用户中心提交工单以详细说明!