漏洞速览
- 漏洞编号：
CVE-2026-18431 - 风险评分：
9.8（严重） - 首次披露：2026-08-25
- 最近更新：2026-08-25
- 软件类型：插件
- 软件标识：
fusion-builder - 受影响版本：<= 3.16
- 修复版本：3.16.1
- 是否已修复：是
漏洞详情
Avada 主题在安装 Fusion Builder 插件的情况下存在远程代码执行漏洞，影响范围为 Avada 主题最高 7.15.6 版本及 Fusion Builder 插件最高 3.15.6 版本。 该漏洞利用一条漏洞链，使未认证攻击者能够调用 Fusion Builder 的动态数据动作钩子，覆盖当前请求的 Fusion Library 补丁元数据，并借助 Fusion Library 补丁程序向任意 PHP 文件路径写入攻击者可控的内容，整个过程无权限检查、路径验证或扩展名验证。
因此未认证攻击者可在服务器上写入并执行任意 PHP 文件。 成功利用此漏洞需同时启用 Avada 和 Fusion Builder，且需要获取一个由管理员作者发布的文章 ID（例如全新安装中的默认"Hello World"文章）。
影响与风险
- 漏洞类型：Unauthenticated Remote Code Execution via Fusion Patcher
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
修复建议
- 按官方建议执行修复：更新至 3.16.1 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
