На 13 октомври 2026 г. Wordfence оповести нова уязвимост в Avada Builder, плъгина, с който се изграждат страниците в темата Avada (CVE-2026-97471). Посетител без акаунт може да прочете имейла и потребителското име на администратора, а в магазин с WooCommerce и данните за фактуриране на клиентите. Засегнати са версиите на Avada Builder до 3.16.1 включително. Записът в CVE препраща към бележките на ThemeFusion за Avada 7.16.2 от 30 септември, където е отбелязана поправка на възможно изтичане на информация в елемента Instagram.
Това е същото обновление, което затвори и уязвимостта с изтриването от кошчето. Ако тогава обновихте сайта и Avada Builder вече е на 3.16.2, не е нужно да правите нищо повече.
Какви данни на клиенти могат да изтекат
Според записа нападателят може да извлече произволни данни от профила (user meta) на всеки потребител, като посочи номера му. Изрично са изброени имейлът и потребителското име на администратора, както и имейлът, телефонът и адресът за фактуриране, които WooCommerce пази за клиентите с профил в магазина.
С тези данни нападателят може да прати на клиента убедителен SMS, например че пратката от Еконт или Спиди чака доплащане, с връзка към фалшива страница за плащане. С потребителското име на администратора в ръцете си нападателят трябва да познае само паролата. А имейлът, телефонът и адресът на клиента са лични данни, които GDPR защитава и за които отговаряте Вие като търговец.
По CVSS уязвимостта е с оценка 5.3, „средна“, защото позволява само да се четат данни, без промени по сайта. Какво значи такава оценка, е обяснено в ръководството за CVSS. Към 15 октомври CISA отбелязва в записа, че няма данни за атаки с тази уязвимост.
Засегнат ли е Вашият сайт?
Засегнат е, ако Avada Builder е на версия 3.16.1 или по-стара. Плъгинът има своя номерация, различна от тази на темата. Версията се вижда в Plugins > Installed Plugins, а в Terminal на cPanel двете команди по-долу показват темата и плъгините на Avada. Как се работи с WP-CLI, е описано в ръководството за WP-CLI.
# cPanel > Terminal, в папката на сайта
# Само чете. Показва версиите на темата и плъгините на Avada.
wp theme list --fields=name,status,version | grep -i avada
wp plugin list --fields=name,title,status,version \
| grep -iE "avada|fusion"
Заявката на нападателя изисква и код за проверка (nonce). Според записа в CVE този код се вижда открито в кода на всяка страница с елемента Instagram на Avada, който показва на сайта публикации от Instagram. Затова най-изложени са сайтовете с този елемент. Записът не казва дали кодът може да се вземе и по друг начин, така че обновете, дори да не го използвате.
Какво да направите
- Направете бекъп на файловете и базата данни, както е описано в ръководството за бекъп.
- Обновете темата Avada до 7.16.2 или по-нова, после плъгините Avada Core и Avada Builder, първо Avada Core. Ако темата е регистрирана с кода от покупката, обновлението е в
Dashboard > Updates. Ако не е, следвайте указанията на ThemeFusion. Накрая проверете версията на Avada Builder. Тя трябва да е 3.16.2 (текущата според ThemeFusion) или по-нова. - Уверете се, че администраторите имат силни пароли, които не ползват другаде. Как да защитите входа към администрацията, е описано в ръководството за защита на WordPress.
- Ако не можете да обновите веднага, махнете дотогава елемента Instagram от страниците. Така премахвате мястото, където според записа се вижда кодът за проверка. Това само затруднява атаката и не замества обновлението.
Какво правим ние
При наблюдението на уязвимостите следим какво е инсталирано на сайта Ви и всеки ден го сверяваме с базите данни с уязвимости (CVE). Щом се появи уязвимост в нещо, което използвате, изпращаме Ви сигнал и обновяваме, като първо пробваме обновлението на копие в staging. Сайтът може да е хостнат където и да е. Ако искате да включим и Вашия сайт, пишете ни през формата за запитване.
Често задавани въпроси
Какво е CVE-2026-97471 в Avada Builder?
Уязвимост в Avada Builder, плъгина, с който темата Avada строи страниците, разкрита от Wordfence на 13 октомври 2026 г. Посетител без акаунт може да прочете имейла и потребителското име на администратора, а в магазин с WooCommerce и данните за фактуриране на клиентите. Засегнати са версиите на Avada Builder до 3.16.1 включително.
Кои данни на клиентите могат да изтекат през Avada Builder?
Според записа в CVE нападателят може да изтегли произволни данни от профила на всеки потребител, като посочи номера му. Записът назовава имейла и потребителското име на администратора, както и имейла, телефона и адреса за фактуриране, които WooCommerce пази за клиентите с акаунт. Това са лични данни, защитени от GDPR, за които като собственик на магазина отговаряте Вие.
Опасна ли е уязвимост с оценка 5.3?
Оценката 5.3 по CVSS е „средна“, защото уязвимостта в Avada Builder позволява само да се четат данни, без да се променя сайтът. С имейла и телефона на клиент обаче може да се изпрати убедително съобщение, например че пратка от Еконт или Спиди чака доплащане, с връзка към фалшива страница за плащане. С потребителското име на администратора остава да се отгатне само паролата.
Коя версия на Avada Builder поправя CVE-2026-97471?
Avada Builder 3.16.2, която ThemeFusion пусна с темата Avada 7.16.2 на 30 септември 2026 г. Бележките към Avada 7.16.2 посочват поправка на възможно разкриване на информация в елемента Instagram.
Обнових Avada заради дупката с кошчето, трябва ли да правя още нещо?
Не, ако Avada Builder вече е на 3.16.2. Същото обновление на Avada 7.16.2 затвори и уязвимостта, която трие съдържание от кошчето, и разкриването на данни по CVE-2026-97471. Проверете версията на плъгина в Plugins > Installed Plugins, защото тя е отделна от версията на темата.
Защо елементът Instagram на Avada прави сайта по-уязвим?
Заявката на нападателя изисква код за сигурност (nonce). Според записа в CVE този код се вижда като обикновен текст в кода на всяка страница с елемента Instagram на Avada, който показва публикации от Instagram в сайта. Записът не казва дали кодът може да се вземе и по друг начин, затова обновете, дори да не използвате елемента.
Какво да направя, ако не мога да обновя Avada веднага?
Махнете елемента Instagram на Avada от страниците си, докато обновите. Така изчезва мястото, където според записа се вижда кодът за сигурност. Това само затруднява атаката и не замества обновяването до Avada Builder 3.16.2.
Атакува ли се вече CVE-2026-97471?
Към 15 октомври 2026 г. CISA отбелязва в записа, че няма данни за атаки с тази уязвимост в Avada Builder. Това не е причина да отлагате обновяването, а и администраторите трябва да имат силни пароли, които не използват другаде.