El plugin de WordPress Avada Builder, utilizado en más de un millón de sitios web, presenta dos vulnerabilidades graves. Según el investigador Rafie Muhammad, estos fallos podrían permitir que atacantes roben datos sensibles y accedan a archivos del servidor mediante inyecciones SQL y lectura de archivos. Se advierte que los sitios que no apliquen los parches de seguridad podrían ser explotados activamente.

Un plugin de WordPress ampliamente utilizado que impulsa más de un millón de sitios web se ha visto afectado por dos vulnerabilidades graves que podrían permitir a los atacantes robar datos confidenciales y acceder a archivos del servidor.

Investigadores de seguridad advierten que los fallos en el plugin Avada Builder podrían ser explotados activamente si tus sitios permanecen sin parchear.

Los problemas, descubiertos por el investigador Rafie Muhammad a través del Programa de Recompensas por Errores de Wordfence, incluyen una vulnerabilidad de lectura de archivos arbitrarios (CVE-2026-4782) y un fallo de inyección SQL (CVE-2026-4798).

Estas vulnerabilidades afectan a las versiones de Avada Builder hasta la 3.15.2 y 3.15.1, respectivamente.

Fallos de Avada Builder

Vulnerabilidad de Lectura de Archivos Arbitrarios

El primer fallo (CVE-2026-4782) permite que usuarios autenticados con privilegios mínimos, como los suscriptores, lean archivos confidenciales en el servidor.

Esta vulnerabilidad existe en la gestión que hace el plugin del parámetro “custom_svg” dentro de un shortcode.

Debido a la falta de comprobaciones de validación, los atacantes pueden manipular la función responsable de cargar archivos y recuperar contenidos de ubicaciones arbitrarias.

Esto incluye archivos críticos como wp-config.php, que contiene las credenciales de la base de datos y las claves de seguridad.

En términos sencillos, un usuario de bajo nivel podría engañar al plugin para que exponga datos confidenciales del servidor sin necesidad de tener acceso de administrador.

El problema recibió una puntuación CVSS de 6.5, lo que indica una gravedad media pero un riesgo práctico alto.

La Inyección SQL Permite el Robo de Datos

La segunda vulnerabilidad (CVE-2026-4798) es más grave, con una puntuación CVSS de 7.5. Permite que atacantes no autenticados realicen ataques de inyección SQL basados en tiempo a través del parámetro “product_order”.

Debido a que el plugin no sanea correctamente las consultas a la base de datos, los atacantes pueden inyectar comandos SQL maliciosos.

Esto puede usarse para extraer datos sensibles, como credenciales de usuario y hashes de contraseñas de la base de datos.

Aunque la explotación requiere una condición específica (WooCommerce debe haber sido instalado previamente y luego desactivado), el ataque sigue siendo altamente impactante.

Los actores de amenazas pueden utilizar técnicas basadas en el tiempo, como las funciones SQL SLEEP, para extraer información lentamente sin producir una salida directa.

El equipo de desarrollo de Avada lanzó parches en dos etapas. La versión 3.15.2 abordó parcialmente los problemas, mientras que la corrección final se entregó en la versión 3.15.3 el 12 de mayo de 2026.

Se recomienda encarecidamente a los propietarios de sitios web que utilicen Avada Builder que actualicen a la versión 3.15.3 o posterior inmediatamente.

• Actualiza el plugin a la última versión.
• Revisa los roles de usuario y elimina las cuentas de suscriptores innecesarias.
• Monitorea los registros en busca de consultas a la base de datos o accesos a archivos inusuales.
• Utiliza un firewall de aplicaciones web, como Wordfence, para obtener protección adicional.

Este incidente resalta cómo incluso los plugins ampliamente confiables pueden introducir riesgos de seguridad graves si no se auditan regularmente.

Con más de un millón de instalaciones activas, la superficie de ataque es masiva, lo que convierte a tales vulnerabilidades en objetivos atractivos para los ciberdelincuentes.

A medida que los atacantes continúan automatizando la explotación de fallos conocidos, el parcheo oportuno sigue siendo la defensa más efectiva para ti como propietario de un sitio WordPress.