Уязвимост в Avada позволява изтриване от кошчето без вход

На 9 октомври 2026 г. Wordfence оповести критична уязвимост в Avada Builder, един от двата задължителни плъгина на темата Avada (CVE-2026-97670). През публична форма на сайта посетител без акаунт може да накара WordPress да изпълни вътрешно действие по свой избор. При проверката на Wordfence една такава заявка е изтрила завинаги публикации, страници и коментари от кошчето. Засегнати са версиите на Avada Builder до 3.16.1 включително. Поправката е във версия 3.16.2, която ThemeFusion пусна заедно с Avada 7.16.2 на 30 септември, девет дни преди публикацията на Wordfence.

Как работи уязвимостта в Avada Builder

WordPress и плъгините вършат голяма част от работата си чрез вътрешни действия (action hooks), като чистенето на кошчето или автоматичните обновления. Формите на Avada могат да пращат писмо при всяко попълване и да слагат в него стойностите от полетата. Според Wordfence нападателят пише в поле на формата маркер на Avada за динамични данни ({action_hook}), а Avada пуска посоченото в него действие, без да провери дали посетителят има право на това. В една заявка може да има няколко такива действия.

Wordfence показва това с wp_scheduled_delete, действието, с което WordPress чисти кошчето. Според документацията на WordPress то трие завинаги онова, което стои в кошчето по-дълго от зададения срок, по подразбиране 30 дни. Нападателят обаче сам избира действието. Wordfence пише, че други действия могат да направят сайта недостъпен, а ако има инсталирани плъгини с уязвими обработчици на такива действия, стават възможни и промени, които иначе изискват вход с нужните права. По CVSS уязвимостта има оценка 9.1, което е в категорията „критична“.

Засегнат ли е Вашият сайт?

Засегнат е, ако на него работи Avada Builder до версия 3.16.1 включително. Записът в CVE посочва засегнатите версии като „до 7.16.1“, а това е номерът на темата Avada. Плъгинът има собствена номерация, затова гледайте версията на Avada Builder в Plugins > Installed Plugins. В Terminal на cPanel двете команди по-долу показват версиите на темата и на плъгините. Как се работи с WP-CLI, е описано в ръководството за WP-CLI.

# cPanel > Terminal, в папката на сайта
# Само чете. Показва версиите на темата и плъгините на Avada.
wp theme list --fields=name,status,version | grep -i avada
wp plugin list --fields=name,title,status,version \
  | grep -iE "avada|fusion"

Ако темата е 7.16.2, а Avada Builder е по-стар от 3.16.2, обновлението не е довършено, защото плъгините се обновяват отделно от темата.

Според Wordfence за атаката е нужна и публикувана форма на Avada, която се подава през AJAX (без презареждане на страницата) и изпраща известие по имейл. В текста на писмото трябва да има [all_fields] или име на поле в квадратни скоби. Wordfence пише, че това е настройката по подразбиране, а според ThemeFusion известията изобщо работят само при подаване през AJAX. Затова приемете, че условието е изпълнено за всяка публикувана форма на Avada, която Ви праща писмо. Формите са в Avada > Forms, а известията им са в раздела Notifications на Form Options. Ако на сайта няма такава форма, условието не е изпълнено, но обновете все пак.

Ако формите записват попълненото и в базата данни (Form Entries), потърсете там текста action_hook. Посетител няма причина да го пише, затова такъв запис е следа от опит за атака. Ако не намерите такъв, това не доказва, че опит не е имало.

Какво да направите

1. Направете бекъп на файловете и базата данни, както е описано в ръководството за бекъп. ThemeFusion също препоръчва пълен бекъп преди всяко обновление.
2. Обновете темата Avada до 7.16.2 или по-нова. Според ThemeFusion обновлението се появява в Dashboard > Updates, ако Avada е регистрирана с кода от покупката (purchase code). Без регистрация темата се обновява ръчно с файловете от ThemeForest, по указанията на ThemeFusion.
3. Обновете плъгините Avada Core и Avada Builder, първо Avada Core. След обновлението на темата администрацията показва известие за тях. Ако го няма, ще ги намерите в Avada > Maintenance > Plugins & Add-Ons. Накрая проверете, че версията на Avada Builder е 3.16.2 или по-нова.
4. Ако не можете да обновите веднага, сложете формите на Avada, които пращат известия, в чернова (Draft), докато го направите. Според Wordfence атаката изисква публикувана форма.

Какво правим ние

При наблюдението на уязвимостите следим какво е инсталирано на сайта Ви и всеки ден го сверяваме с базите данни с уязвимости (CVE). Щом се появи уязвимост в нещо, което използвате, изпращаме Ви сигнал. Обновяваме, преди някой да се възползва от слабото място, като първо пробваме обновлението на копие в staging. Сайтът може да е хостнат където и да е. Ако искате да включим и Вашия сайт, пишете ни през формата за запитване.

Източници

• Wordfence, уязвимостта в Avada (Fusion) Builder
• NVD, CVE-2026-97670
• ThemeFusion, Version 7.16.2 Security Update
• ThemeFusion, Avada Changelog
• ThemeFusion, Plugin Installation & Maintenance
• ThemeFusion, Important Update Info
• ThemeFusion, How To Update The Avada Website Builder
• ThemeFusion, How To Register Avada
• ThemeFusion, Avada Form Options
• WordPress Developer Resources, wp_scheduled_delete()