Avada WordPress-Theme: Unauthentifizierter beliebiger Datei-Upload in Forms
Zusammenfassung
Das Avada-Theme für WordPress und WooCommerce bis einschliesslich 7.16.2 validiert Dateitypen bei Uploads, die von der Funktion convert_palette_images_to_truecolor() verarbeitet werden, unzureichend. Ein nicht authentifizierter Angreifer kann potenziell ausführbare Dateien hochladen, was zu Remote Code Execution auf dem Webserver führen kann. Der Hersteller hat das Problem in Avada 7.16.4 behoben und beschreibt es als mögliche Remote Code Execution in Upload-Feldern von Avada Forms.
Betroffen
- ThemeFusion Avada | Website Builder For WordPress & WooCommerce, Versionen 0 bis einschliesslich 7.16.2
- Fusion-Builder-Version für diese CVE: Unbekannt.
Behoben in
- Avada 7.16.4 oder neuer (Sicherheitsmitteilung des Herstellers vom 27. Okt. 2026; ein Changelog-Spiegel nennt 26. Okt. 2026)
- Behobene Fusion-Builder-Version für diese CVE: Unbekannt. Im Changelog des Herstellers prüfen.
Umgehung
- Kein Workaround des Herstellers bekannt. Die Behebung erfolgt durch das Update.
- Bis zur Aktualisierung Upload-Felder in Avada Forms einschränken oder deaktivieren, sofern der Betrieb dies zulässt (nicht vom Hersteller dokumentiert).
Ausnutzung
- Nicht als in freier Wildbahn ausgenutzt bekannt.
- Kein öffentlicher Exploit-Code und kein Nuclei-Template indexiert, Stand 30. Okt. 2026.
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog gelistet.
- EPSS: 0.66 % (Perzentil 52).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Alle WordPress-Websites mit Avada inventarisieren und Theme- sowie Fusion-Builder-Version erfassen.
- Avada auf 7.16.4 oder neuer aktualisieren und die Fusion-Builder-Version im Changelog des Herstellers überprüfen.
- Bis zur Aktualisierung Formulare mit Upload-Feldern nach Möglichkeit einschränken.
- Upload-Verzeichnisse und aktuelle Formulareingaben auf unerwartete PHP- oder Skriptdateien prüfen; jeden Fund als Sicherheitsvorfall behandeln.
- Öffentlich erreichbare Websites mit Upload-Formularen priorisieren und die Herstellermitteilung sowie CISA KEV beobachten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Avada Version 7.16.4 Security Update avada.com
- Wordfence threat intelligence entry www.wordfence.com
- Avada on ThemeForest themeforest.net
- VulDB entry 429245 vuldb.com
- Vulners PT-2026-133700 vulners.com
- OffSeq Radar threat entry radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.