Se han detectado dos vulnerabilidades críticas en el plugin Avada Builder de WordPress que afectan a cerca de un millón de sitios. La primera permite a usuarios autenticados leer archivos sensibles del servidor, mientras que la segunda es una inyección SQL que permite extraer datos de la base de datos sin autenticación. Se recomienda a los administradores actualizar urgentemente a la versión 3.15.3 para solucionar estos fallos.




Dos vulnerabilidades en el plugin Avada Builder para WordPress, con una estimación de un millón de instalaciones activas, permiten a los hackers leer archivos arbitrarios y extraer información confidencial de la base de datos.

Una de las fallas está registrada como CVE-2026-4782 y puede ser explotada en todas las versiones del plugin hasta la 3.15.2 por usuarios autenticados con al menos acceso de nivel de suscriptor para leer el contenido de cualquier archivo en el servidor.

El otro problema de seguridad recibió el identificador CVE-2026-4798 y es una inyección SQL que puede aprovecharse sin autenticación. Sin embargo, la explotación es posible solo si el plugin de comercio electrónico WooCommerce para WordPress ha sido habilitado y luego desactivado.

Avada Builder es un plugin constructor de páginas web de arrastrar y soltar para el tema Avada de WordPress que permite crear y personalizar diseños de sitios web, secciones de contenido y elementos de diseño sin escribir código.

Los dos problemas fueron descubiertos por el investigador de seguridad Rafie Muhammad, quien los reportó a través del Programa de Recompensas por Errores de Wordfence y recibió 3.386 y 1.067 dólares, respectivamente, por los hallazgos.

Wordfence explica que la lectura de archivos arbitrarios es posible a través de la funcionalidad de renderizado de shortcodes del plugin y el parámetro custom_svg. El problema es que el plugin no valida correctamente los tipos o fuentes de archivos, permitiendo el acceso a archivos sensibles como wp-config.php, que normalmente contiene credenciales de la base de datos y claves criptográficas.

El acceso a wp-config.php puede conducir al compromiso de una cuenta de administrador y a la toma total del control del sitio.

Aunque la falla recibió una calificación de severidad media porque requiere acceso de nivel de suscriptor, este requisito no representa una barrera, ya que muchos sitios de WordPress ofrecen registro de usuarios.

La falla de inyección SQL ciega basada en tiempo registrada como CVE-2026-4798 afecta a las versiones de Avada Builder hasta la 3.15.1. El problema existe porque la entrada controlada por el usuario del parámetro product_order se insertaba en una cláusula SQL ORDER BY sin la preparación adecuada de la consulta.

La falla puede ser explotada por atacantes no autenticados para extraer información confidencial de la base de datos del sitio, incluidos los hashes de las contraseñas. El requisito previo para explotarla es haber utilizado WooCommerce y luego haberlo desactivado, y sus tablas de base de datos deben estar intactas.

Las dos fallas fueron enviadas a Wordfence el 21 de marzo y reportadas al editor de Avada Builder el 24 de marzo. Una corrección parcial, la versión 3.15.2, fue lanzada el 13 de abril, mientras que la versión 3.15.3 completamente parcheada fue lanzada el 12 de mayo.

Se recomienda a los propietarios/administradores de sitios web afectados que actualicen a la versión 3.15.3 de Avada Builder lo antes posible.

Fuente:
BleepingComputer