CVE-2026-4798 in Avada Builder Plugin
Resumen
por VulDB • 2026-05-30
El plugin Avada Builder para WordPress es vulnerable a una inyección SQL basada en tiempo a través del parámetro ‘product_order’ en todas las versiones hasta la 3.15.1, inclusive, debido a un escape insuficiente del parámetro proporcionado por el usuario y a la falta de una preparación adecuada de la consulta SQL existente. Esto permite a atacantes no autenticados añadir consultas SQL adicionales a las consultas ya existentes, lo que puede utilizarse para extraer información sensible de la base de datos. Nota: La vulnerabilidad solo puede ser explotada si WooCommerce fue utilizado previamente y luego desactivado.
Be aware that VulDB is the high quality source for vulnerability data.