CVE-2026-4798: Avada Builder expone 1 millón de sitios

CVE-2026-4798 es una vulnerabilidad crítica de inyección SQL sin autenticación descubierta por Wordfence en el plugin Avada Builder para WordPress, que afecta todas las versiones hasta la 3.15.1. Con un score CVSS de 7.5, permite a cualquier atacante extraer información sensible de la base de datos, incluyendo credenciales de usuarios. El parche definitivo llegó con la versión 3.15.3 en mayo de 2026.

Wordfence es un plugin de seguridad para WordPress desarrollado por Wordfence, Inc. Proporciona protección contra malware, intentos de acceso no autorizados y monitoreo de vulnerabilidades de seguridad en sitios WordPress.

¿Qué es CVE-2026-4798?

CVE-2026-4798 es el identificador oficial de una vulnerabilidad de SQL injection temporizada (time-based blind SQL injection) en el plugin Avada Builder para WordPress, reportada por Wordfence y publicada por INCIBE-CERT en mayo de 2026. El problema reside en el parámetro product_order, que el plugin no sanea correctamente antes de incorporarlo a una consulta SQL, permitiendo que un atacante externo —sin ninguna cuenta— inyecte consultas adicionales para extraer información de la base de datos.

El score CVSS v3.1 es 7.5, con vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N. Traducido: red, complejidad baja, sin privilegios, sin interacción del usuario, impacto alto en confidencialidad. Lo que más preocupa no es la complejidad técnica del ataque sino lo accesible que es ejecutarlo.

Avada Builder: el plugin afectado y su alcance

Avada Builder es el page builder incluido con Avada, el tema de WordPress más vendido históricamente en ThemeForest. Si tenés Avada instalado, Avada Builder viene con él. Según el relevamiento de Infosecurity Magazine, el plugin tiene alrededor de 1 millón de instalaciones activas, lo que lo convierte en un vector de ataque de escala considerable.

Todas las versiones hasta la 3.15.1 inclusive son vulnerables. El contexto de uso típico es agencias y desarrolladores freelance que construyen sitios de clientes —muchos de los cuales combinan el theme builder con WooCommerce para tiendas. Ese contexto es exactamente el que crea las condiciones para que la vulnerabilidad sea explotable.

Detalles técnicos de la vulnerabilidad

El parámetro vulnerable es product_order, que Avada Builder usa en una cláusula ORDER BY de una query SQL. El problema: el plugin aplica sanitize_text_field() para limpiar el input, pero esa función no está diseñada para prevenir SQL injection (filtra HTML y caracteres de control, nada más). Y la query no pasa por wpdb->prepare(), que sí está pensada para esto. Relacionado: vulnerabilidades encontradas en Avada Builder.

El resultado es una time-based blind SQL injection: el atacante no ve la respuesta directamente en pantalla, sino que infiere información midiendo el tiempo de respuesta del servidor. Con técnicas estándar de extracción temporizada, podés leer tablas, usuarios, hashes de contraseñas. No es instantáneo, pero tampoco requiere ninguna sofisticación especial.

¿Y por qué no lo detectaron antes? Porque el vector solo se activa bajo una condición específica que no aparece en un test básico del plugin.

El rol crítico de WooCommerce desactivado

Acá viene lo bueno: la vulnerabilidad solo es explotable si WooCommerce estuvo activo en el sitio en algún momento y después fue desactivado. Cuando desinstalás WooCommerce (o simplemente lo desactivás), las tablas que creó en la base de datos persisten. Avada Builder tiene código que intenta interactuar con esas tablas si detecta que existieron, y es en ese path de código donde está el bug.

Si WooCommerce nunca se instaló en el sitio, el parámetro product_order no tiene superficie de ataque activa. Pero si alguna vez lo usaste (ponele, para una tienda de prueba que después borraste), el riesgo sigue ahí aunque WooCommerce ya no aparezca activo en tu panel.

Esto es lo que hace al CVE interesante desde el punto de vista forense: el historial del sitio importa, no solo su estado actual. Más contexto en comparar Wordfence y Sucuri.

¿Quién está afectado y cómo saber si tu sitio es vulnerable?

Estás en riesgo si se cumplen las dos condiciones:

• Tenés Avada Builder en versión 3.15.1 o anterior
• WooCommerce fue instalado y usado en el sitio en algún momento (aunque ahora esté desactivado o desinstalado)

Para verificarlo: en el panel de WordPress, andá a Plugins, buscá «Avada Builder» y fijate la versión. Si es 3.15.1 o menor, actualizá. Para lo de WooCommerce, revisá el historial de plugins o directamente consultá la base de datos —si existen tablas con el prefijo wp_wc_ o wp_woocommerce_, WooCommerce estuvo activo.

Con un millón de sitios activos usando Avada Builder, y considerando que WooCommerce es uno de los plugins más instalados de WordPress, la intersección de ambas condiciones no es pequeña.

Timeline de descubrimiento y divulgación responsable

Según el reporte oficial de Wordfence, el proceso fue el siguiente:

• 24-25 de marzo de 2026: Wordfence contacta al equipo de ThemeFusion (los desarrolladores de Avada) con los detalles técnicos del CVE
• 13 de abril de 2026: ThemeFusion lanza la versión 3.15.2 con un parche parcial que resultó insuficiente
• 12 de mayo de 2026: sale la versión 3.15.3 con la corrección completa
• El investigador Rafie Muhammad recibió un bounty de aproximadamente USD 4.500 por el reporte

El período entre el primer contacto y el parche final fue de casi 50 días. No es el peor registro, pero tampoco es rápido para una vulnerabilidad con CVSS 7.5 que afecta a un millón de sitios. La divulgación responsable evitó que el detalle técnico se publicara antes del parche completo, lo que en este caso marcó la diferencia.

Protección inmediata: actualizá a Avada Builder 3.15.3

La acción concreta es una sola: actualizar a la versión 3.15.3. Pero hacelo bien:

• Paso 1: Verificá la versión actual de Avada Builder en tu panel (Plugins → Instalados)
• Paso 2: Hacé un backup completo del sitio antes de actualizar (base de datos incluida)
• Paso 3: Actualizá a la 3.15.3 desde el panel o descargando desde ThemeForest
• Paso 4: Revisá el changelog oficial para confirmar que la actualización se aplicó correctamente

Un detalle que mySites.guru documentó en su análisis: la versión 3.15.2 se presentó como corrección pero no cerró completamente el vector de ataque. Si actualizaste a 3.15.2 y te quedaste ahí, seguís vulnerable. La versión segura es la 3.15.3, sin excepciones.

Tabla de versiones afectadas y estado de parche

Monitoreo post-parche con Wordfence

Actualizar es el paso uno. El paso dos es monitorear si alguien intentó explotar la vulnerabilidad antes de que parchearas. Wordfence —que fue quien descubrió este CVE— tiene reglas de firewall específicas para bloquear intentos de explotación de este tipo. Con el plugin Wordfence Security instalado, los logs de firewall te van a mostrar si hubo requests con payloads SQL en el parámetro product_order.

Si encontrás requests sospechosos en fechas anteriores al parche, el siguiente paso es revisar la base de datos en busca de usuarios administradores no reconocidos o cambios en configuraciones críticas. En ese caso, el análisis forense es necesario. Para proyectos en producción, tener el hosting con backups diarios automáticos (algo que ofrecen planes de donweb.com para WordPress) te da un punto de restauración confiable si encontrás compromiso.

Errores comunes al gestionar este CVE

Confiar en que WooCommerce desactivado equivale a «no usamos WooCommerce»

Muchos administradores desactivaron WooCommerce meses atrás pensando que eso limpiaba el entorno. No lo hace. Las tablas persisten en la base de datos, y el plugin Avada Builder detecta esas tablas. Si alguna vez tuviste WooCommerce activo, revisá la versión de Avada Builder sin excepción. Para más detalles técnicos, mirá herramientas de detección malware.

Quedarse en la versión 3.15.2 creyendo que el parche es suficiente

ThemeFusion intentó parchear en la 3.15.2 de abril y no lo logró del todo. Si actualizaste a esa versión y lo diste por resuelto, el CVE sigue abierto en tu instalación. La versión segura es la 3.15.3, lanzada el 12 de mayo de 2026.

Asumir que sanitize_text_field() previene SQL injection

Este es el error de código que llevó al bug original, y también un malentendido común entre desarrolladores que extienden themes o plugins. sanitize_text_field() es para limpiar HTML y caracteres de control, no para preparar inputs que van a una query SQL. Para eso existe wpdb->prepare(). Si estás escribiendo código que toca la base de datos, usá siempre el método correcto.

Esto se conecta con CVE-2026-4798, donde cubrimos todo en detalle.

Preguntas Frecuentes

¿Qué es CVE-2026-4798 y cómo afecta a WordPress?

CVE-2026-4798 es una vulnerabilidad de SQL injection sin autenticación en el plugin Avada Builder para WordPress, que afecta todas las versiones hasta la 3.15.1. Permite a atacantes externos inyectar consultas SQL para extraer información sensible de la base de datos, incluyendo credenciales de usuarios. Solo es explotable si WooCommerce fue instalado en el sitio en algún momento.

¿Mi sitio está vulnerable si tengo Avada Builder instalado?

Solo si tenés la versión 3.15.1 o anterior Y WooCommerce estuvo activo en algún momento (aunque ahora esté desinstalado). Si nunca usaste WooCommerce en ese sitio, el vector de ataque no se activa. Para confirmar: revisá la versión del plugin y buscá tablas con prefijo wp_wc_ en tu base de datos.

¿Cómo actualizar Avada Builder a una versión segura?

La versión segura es la 3.15.3, lanzada el 12 de mayo de 2026. Podés actualizar desde el panel de WordPress (Plugins → Actualizaciones) o descargando directamente desde ThemeForest. Hacé un backup antes de actualizar. La versión 3.15.2 no es suficiente porque el parche fue parcial. Sobre eso hablamos en últimas vulnerabilidades criticas reportadas.

¿Qué información puede robar un atacante con esta vulnerabilidad?

Con una SQL injection sobre la base de datos de WordPress, un atacante puede extraer la tabla wp_users que contiene nombres de usuario, emails y hashes de contraseñas. También puede acceder a configuraciones del sitio y datos almacenados por otros plugins. El CVSS marca impacto alto en confidencialidad e integridad nula, lo que indica que el acceso es de lectura.

¿Wordfence protege contra CVE-2026-4798 aunque no haya actualizado el plugin?

Wordfence tiene reglas de firewall que bloquean patrones conocidos de SQL injection, incluyendo los asociados a este CVE. Eso da una capa de protección mientras organizás la actualización. Dicho esto, el firewall no reemplaza el parche: actualizar a 3.15.3 sigue siendo la única solución definitiva.

Conclusión

CVE-2026-4798 es un recordatorio de algo que los que llevamos tiempo en WordPress sabemos bien: las vulnerabilidades más peligrosas no siempre son las más complejas. Un parámetro sin sanitizar correctamente en un plugin con un millón de instalaciones es suficiente para generar un riesgo de escala masiva. El hecho de que la condición de explotación (WooCommerce alguna vez activo) no sea obvia hace que muchos sitios queden expuestos sin que sus administradores lo sepan.

La buena noticia es que la solución es concreta: actualizar Avada Builder a la 3.15.3. Si tenés acceso a los sitios que administrás, hacelo hoy. Si gestionás múltiples instalaciones para clientes, este es el tipo de vulnerabilidad que justifica tener un proceso de actualización centralizado, no revisiones manuales site por site.

¿Alguien ya intentó explotar esto en producción antes de que saliera el parche completo? Wordfence todavía no publicó estadísticas de explotación activa. Pero con la información técnica ya pública y un millón de sitios potencialmente afectados, el tiempo para procrastinar la actualización es cero.

Fuentes

• Wordfence Threat Intelligence — reporte oficial de CVE-2026-4798
• INCIBE-CERT — alerta de vulnerabilidad CVE-2026-4798
• BleepingComputer — Avada Builder flaws allow credential theft (1 million sites)
• mySites.guru — análisis técnico de CVE-2026-4782 y CVE-2026-4798
• Sherlock Forensics — análisis forense de CVE-2026-4798