CVE-2026-115346

CVSS 8.1 HIGH RCE

Avada | Website Builder For WordPress & WooCommerce <= 7.16.2 - Unauthenticated Arbitrary File Upload via Avada Form Upload Field

Công bố: 2026-10-31
Cập nhật: 2026-10-31
Lần đầu thấy: 2026-10-31
Nguồn: NVD, CVE.org

Mô tả

The Avada | Website Builder For WordPress & WooCommerce theme for WordPress is vulnerable to Arbitrary File Upload in versions up to, and including, 7.16.2 via the convert_palette_images_to_truecolor() function. This is due to insufficient file type validation before processing uploaded files. This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible.

Điểm và phân loại

CVSS: 8.1 HIGH v3.1
Nguồn điểm: NVD
Mức độ (theo nguồn): HIGH
EPSS: —
CWE: CWE-434

Vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Ảnh hưởng

Sản phẩm

ThemeFusion Avada | Website Builder For WordPress & WooCommerce

Vì sao được giữ

CVSS 8.1 >= 8.0

Loại tác động

RCE: CWE-434; từ khoá "remote code execution"

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã: Wordfence
CVE.org · SSVC: Tự động hoá được: no · Khai thác: none · Tác động kỹ thuật: total