WPsec.itSicurezza WordPress
Tutti gli articoli
Vulnerabilità2 min di letturaTeam WPsec.it

Avada Builder: due falle gravi, cosa fare subito

Avada Builder ha due vulnerabilità: SQL injection e file read. Ecco versioni colpite, patch e azioni immediate.

Condividi
Avada Builder: due falle gravi, cosa fare subito

Se il tuo sito usa Avada Builder, questa è una patch da trattare come urgente. Wordfence ha segnalato due vulnerabilità distinte nel plugin: una SQL injection non autenticata e una lettura arbitraria di file che può arrivare a esporre file sensibili come wp-config.php. ThemeFusion ha chiuso il problema con 3.15.3.

In breve

CVETipoVersioni colpiteVersione sicura
CVE-2026-4798SQL injection time-based non autenticatafino a 3.15.13.15.2
CVE-2026-4782Lettura arbitraria di filefino a 3.15.23.15.3

La prima falla riguarda il percorso che usa dati legati a WooCommerce. La seconda è più delicata dal punto di vista operativo, perché un file come wp-config.php può contenere credenziali database, chiavi di autenticazione e dettagli utili a prendere controllo del sito.

Cosa fare subito

  1. Verifica la versione di Avada Builder su ogni installazione.
  2. Aggiorna a 3.15.3 se il sito usa Avada.
  3. Controlla i log se il sito era esposto prima della patch.
  4. Ruota le credenziali se sospetti che wp-config.php sia stato letto.
  5. Cerca segnali di compromissione: utenti admin nuovi, file strani, redirect, spam SEO, modifiche a .htaccess.

Quando preoccuparsi davvero

La situazione diventa seria se trovi uno di questi segnali:

  • accessi admin che non riconosci;
  • file PHP recenti in cartelle insolite;
  • comportamenti anomali su login, form o checkout;
  • redirect verso domini esterni;
  • aumento improvviso di errori o query lente.

In quel caso l’aggiornamento non basta: serve verificare se qualcuno ha già sfruttato la falla e se il sito va bonificato.

Nota pratica

Se gestisci più siti clienti, questa è una di quelle vulnerabilità che vanno trattate in modo sistematico: inventario, priorità sui siti più esposti, aggiornamento, verifica post-patch. Aspettare di “vedere se succede qualcosa” è la scelta peggiore.

Fonti

Se vuoi una verifica del sito

Se usi Avada e vuoi capire se il tuo sito è esposto o già compromesso, la strada corretta è partire da un audit WordPress o da una bonifica malware se vedi segnali sospetti.

Pubblicato il

Condividi

Scritto dal team WPsec.it

Team WPsec.it

Bonifica malware, hardening, performance e manutenzione WordPress.

Prevenzione e gestione

Dopo l'emergenza, o per non arrivarci: le guide sulla gestione.

Sicurezza, velocità e manutenzione di WordPress sono lo stesso lavoro visto da tre lati. Queste pagine spiegano cosa controllare, con quale priorità e quanto costa farlo fare.

Continua a leggere

Articoli correlati.