Popüler WordPress eklentisi Avada Builder'da keşfedilen iki kritik güvenlik açığı, yaklaşık 1 milyon siteyi risk altına sokuyor. Wordfence tarafından 12 Mayıs'ta yayınlanan analize göre, bu açıklar bağımsız araştırmacı Rafie Muhammad tarafından 21 Mart'ta Wordfence Bug Bounty Programı aracılığıyla bildirildi. İlk açık, CVE-2026-4782 olarak takip edilen ve 6.5 CVSS puanına sahip keyfi dosya okuma zafiyeti. Bu açık, eklentinin fusion_get_svg_from_file fonksiyonunda yer alıyor ve fusion_section_separator shortcode'u üzerinden istismar edilebiliyor. Fonksiyon, dosya türü veya kaynak doğrulaması yapmadığı için abone seviyesindeki kimlik doğrulamalı kullanıcılar, wp-config.php gibi hassas dosyaları okuyabiliyor.
İkinci açık ise daha ciddi bir tehdit oluşturuyor. CVE-2026-4798 olarak takip edilen bu zafiyet, kimlik doğrulaması gerektirmeyen zaman tabanlı bir SQL enjeksiyonu olup 7.5 CVSS puanına sahip. product_order parametresinde bulunan bu açık, sanitize_text_field() fonksiyonunun SQL enjeksiyonuna karşı koruma sağlamaması nedeniyle ortaya çıkıyor. ORDER BY ifadesi, WordPress'in prepare() kaçış işlevi kullanılmadan doğrudan sorguya ekleniyor. Bu açık yalnızca daha önce WooCommerce kurulup kaldırılmış sitelerde istismar edilebiliyor.
Wordfence, 24 ve 25 Mart'ta Avada ekibine tam açıklama yaptı ve geliştirici aynı gün yama çalışmalarına başladı. İlk yama 13 Nisan'da 3.15.2 sürümünde yayınlanırken, tam düzeltme 12 Mayıs'ta 3.15.3 sürümünde sunuldu. Wordfence, site sahiplerine güncellemeyi gecikmeden uygulamaları çağrısında bulundu. Ayrıca, açıkların doğası gereği site yöneticilerinin şu önlemleri alması öneriliyor: açıklama döneminde oluşturulan abone hesaplarının denetlenmesi, wp-config.php'de saklanan kimlik bilgilerinin değiştirilmesi ve admin-ajax.php üzerindeki etkilenen shortcode'a yönelik anormal trafiğin kontrol edilmesi.
Uzmanların Görüşleri
Bu açıklamalar, Wordfence'in Avada Builder güvenlik açıkları konusundaki devam eden kayıtlarına yeni bir ekleme olarak kaydedildi. WordPress site sahiplerinin eklenti güncellemelerini düzenli olarak takip etmeleri ve güvenlik açıkları ortaya çıktığında hızlıca yama uygulamaları büyük önem taşıyor. Özellikle popüler eklentilerdeki bu tür zafiyetler, geniş kitleleri etkileyebileceği için ciddiye alınmalıdır.
