漏洞速览
- 漏洞编号：
CVE-2026-97670 - 风险评分：
9.1（严重） - 首次披露：2026-10-09
- 最近更新：2026-10-09
- 软件类型：插件
- 软件标识：
fusion-builder - 受影响版本：<= 7.16.1
- 修复版本：7.16.2
- 是否已修复：是
漏洞详情
Avada（Fusion）Builder 插件在 7.16.1 及以下所有版本中存在授权绕过漏洞。 漏洞成因是插件在分发 WordPress 操作钩子（action hook）前未正确验证授权，而钩子名称来自攻击者通过表单字段注入的值（通过通知邮件的 email_message [field] 占位符及 {action_hook,…} 动态数据令牌实现；3.16.1 中名为 is_content_request_supplied() 的信任门仅检查 $_POST['args']/$_GET['args']，从未检查公开表单提交通道所解析的 $_POST['formData']）。
这使得未认证攻击者可触发任意 WordPress 操作钩子（单次请求可触发多个），造成状态变更，严重时甚至导致站点内容被永久、不可逆地删除：已验证的攻击场景中，未认证请求通过核心 wp_scheduled_delete 操作永久删除了回收站中的文章、页面和评论。 其他未列入黑名单的钩子则可造成拒绝服务（如 wp_maybe_auto_update），若安装了存在漏洞的第三方处理器，还可能导致更高权限的写入操作。 同样的未认证动态数据管道还会造成盲式的任意用户/文章元数据读取；读取结果仅发送给站点所有者，无法通过插件自身的邮件或响应路径被攻击者窃取。
利用此漏洞的前提是：需存在一个已发布的 Avada 表单（启用 AJAX 提交）且其通知邮件的 email_message 模板包含 [all_fields] 或显式 [field] 占位符——这正是默认表单配置。
影响与风险
- 漏洞类型：Unauthenticated Arbitrary WordPress Action Invocation via '{action_hook}' Dynamic-Data Token in Form Field
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
修复建议
- 按官方建议执行修复：更新至 7.16.2 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
