قالب WordPress متأثر بسلسلة ثغرات حرجة تسمح بتنفيذ أوامر PHP عن بُعد في الإصدارات حتى 7.16.
تجمع الثغرة CVE-2026-18431 ست مشكلات أمنية في قالب Avada وإضافة Fusion Builder، ما يتيح لمهاجم غير موثّق تنفيذ تعليمات PHP والسيطرة على الموقع. أصدرت ThemeFusion إصلاحات للإصدارين Avada 7.16.1 وFusion Builder 3.16.1 بعد تقدير حجم قاعدة التثبيت بأكثر من مليون عملية بيع.