CVE-2026-6279WordPress Avada Builder插件在3.15.2及以下版本中存在严重的未授权远程代码执行（RCE）漏洞。该漏洞源于插件在处理AJAX请求时，未对用户输入进行严格的白名单验证，直接将攻击者控制的数据传递给`call_user_func()`函数。由于保护端点的Nonce可被公开获取，未经身份验证的攻击者可利用此漏洞在受影响的服务器上执行任意PHP代码，从而完全控制站点。
漏洞的核心触发点位于`Fusion_Builder_Conditional_Render_Helper::get_value()`方法。当该方法处理`wp_conditional_tags`时，会解析通过Base64编码的JSON数据，并直接将解析后的参数传递给PHP的`call_user_func()`函数，导致函数注入。利用路径是`wp_ajax_nopriv_fusion_get_widget_markup` AJAX端点，该端点允许未授权用户访问。虽然端点受`fusion_load_nonce`保护，但该Nonce是为用户ID 0生成的，并会确定性暴露在包含`[fusion_post_cards]`或`[fusion_table_of_contents]`短代码的页面JavaScript中。攻击者只需提取该Nonce，构造恶意Payload发送至端点，即可触发漏洞并执行任意代码。