Udnyttet sårbarhed

CVE-2026-4798

TLP:CLEAR

theme-fusion avada_builder Ukorrekt neutralisering af specialtegn brugt i en SQL-kommando ('SQL injection')

Plugin'et Avada Builder for WordPress er sårbar over for tidsbaseret SQL Injection via parameteren 'product_order' i alle versioner op til og med 3.15.1 på grund af utilstrækkelig escaping på brugerforsynet parameter og manglende tilstrækkelig forberedelse på den eksisterende SQL-forespørgsel. Dette gør det muligt for uauthenticerede angribere at føje yderligere SQL-forespørgsler til allerede eksisterende forespørgsler, som kan bruges til at udtrække følsomme oplysninger fra databasen. Bemærk: Sårbarheden kan kun udnyttes, hvis WooCommerce tidligere blev brugt og derefter deaktiveret.

Fakta

Leverandør: theme-fusion
Produkt: avada_builder
EPSS (sandsynlighed for udnyttelse inden for 30 dage): 0,5 %
Første kendte udnyttelse: 13. oktober 2026
Første gang set af Risk Letters: 13. oktober 2026

Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.

Få hele briefet

Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD