Eine Million WordPress-Sites gefährdet durch Sicherheitslücken im Avada-Builder

Diese Sicherheitslücken betreffen Versionen des Avada Builder bis einschließlich 3.15.2 bzw. 3.15.1. Avada Builder-Schwachstellen Beliebige Dateileselücke Diese Sicherheitslücke liegt in der Verarbeitung des Parameters „custom_svg" innerhalb eines Shortcodes des Plugins.

Aufgrund fehlender Validierungsprüfungen können Angreifer die Funktion manipulieren, die für das Laden ändig ist, und Inhalte aus beliebigen Speicherorten abrufen. Dies umfasst kritische Dateien wie wp-config.php, die Datenbankzugangsdaten und Sicherheitsschlüssel enthält.

Vereinfacht ausgedrückt könnte ein Benutzer mit geringen Berechtigungen das Plugin dazu bringen, vertrauliche Serverdaten preiszugeben, ohne dass Administratorrechte erforderlich sind. Das Problem erhielt einen CVSS-Score von 6,5, was eine mittlere Schweregrad, jedoch ein hohes praktisches Risiko anzeigt.

Sicherheitslage und Risiko

SQL-Injektion ermöglicht Datendiebstahl Die zweite Schwachstelle (CVE-2026-4798) ist schwerwiegender und weist einen CVSS-Score von 7,5 auf. Sie ermöglicht es nicht authentifizierten Angreifern, über den Parameter „product_order" zeitbasierte SQL-Injektionsangriffe durchzuführen.

Da das Plugin Datenbankabfragen nicht ordnungsgemäß bereinigt, können Angreifer bösartige SQL-Befehle einfügen. Dies kann genutzt werden, um sensible Daten wie Benutzerzugangsdaten und Passwörter aus der Datenbank zu extrahieren.

Obwohl die Ausnutzung eine spezifische Bedingung erfordert – WooCommerce muss zuvor installiert und anschließend deaktiviert worden sein – bleibt der Angriff hochwirksam. Bedrohungsakteure können timingbasierte Techniken wie SQL-SLEEP-Funktionen einsetzen, Informationen schrittweise zu extrahieren, ohne direkte Ausgaben zu erzeugen.

Technik und Auswirkungen

Das Entwicklungsteam zwei Phasen veröffentlicht. Version 3.15.2 löste die Probleme teilweise, während die endgültige Korrektur Version 3.15.3 am 12. Mai 2026 bereitgestellt wurde. Website-Betreiber, die Avada Builder verwenden, werden dringend aufgefordert, unverzüglich auf Version 3.15.3 oder eine neuere Version zu aktualisieren.

Aktualisieren Sie das Plugin auf die neueste Version. Überwachen Sie die Protokolle auf ungewöhnliche Datenbankabfragen oder Dateizugriffe. Nutzen Sie eine Webanwendungsfirewall, beispielsweise Wordfence, für zusätzlichen Schutz.

Dieser Vorfall verdeutlicht, wie selbst weit verbreitet vertrauenswürdige Plugins erhebliche Sicherheitsrisiken bergen können, wenn sie nicht regelmäßig auditiert werden. Mit über einer Million aktiven Installationen ist die Angriffsfläche enorm, was solche Schwachstellen für Bedrohungsakteure zu attraktiven Zielen macht.

Angreifer die Ausnutzung bekannter Fehler weiterhin automatisieren, bleibt das rechtzeitige Patchen die effektivste Verteidigung für WordPress-Betreiber. Abi ist Sicherheitsredakteurin und Reporterin bei