Avada und Avada Builder: alle Lücken und Patches seit 2020

Avada hat auf ThemeForest mehr als eine Million Verkäufe, und jede Avada-Website bringt zwei hauseigene Plugins mit, Avada Builder und Avada Core. Patchstack verzeichnet von Mai 2020 bis zum 1. Oktober 2026 51 verschiedene Lücken in diesem Paket, davon 22 allein im Jahr 2026, mit drei Lücken, über die sich ganz ohne Konto Code ausführen oder Dateien löschen ließen. Hier sind die schwersten, das Wichtigste zu den übrigen und der Grund, warum die Registrierung deiner Lizenz genauso zählt wie das Update.

Avada in Kürze

Avada ist ein kommerzielles Multipurpose-Theme von ThemeFusion, verkauft auf dem Marktplatz ThemeForest (Envato). Seine Seite dort zeigte im Herbst 2026 mehr als eine Million Verkäufe (öffentlicher Zähler von ThemeForest; ein Verkauf entspricht nicht unbedingt einer aktiven Website). Das Produkt besteht aus drei Bausteinen:

• dem Theme Avada selbst;
• Avada Builder (Slug fusion-builder), dem Builder für Seiten, Formulare und Elemente;
• Avada Core (Slug fusion-core), das dem Theme Zusatzfunktionen hinzufügt.

Wordfence erinnerte im August 2026 daran: Avada Builder ist ein vom Theme vorausgesetztes Plugin und damit auf allen Avada-Websites vorhanden. Eine Lücke im Builder betrifft also potenziell die gesamte installierte Basis.

Wie bei jedem kommerziellen Theme laufen die Updates nicht über wordpress.org. Laut der Dokumentation von Avada ist die Registrierung des Produkts mit dem ThemeForest-Kaufcode nötig, um die Updates des Themes zu erhalten, und die mitgelieferten Plugins, darunter Avada Builder, kommen über denselben Kanal von ThemeFusion. Eine nicht registrierte Website oder eine „Nulled“-Kopie erhält die Korrekturen also nicht: Genau das ist das Profil der Websites, die noch Monate nach einer Ankündigung angreifbar bleiben. Unser Artikel über Nulled-Themes und -Plugins erklärt die weiteren Risiken solcher Kopien.

Chronologie der Lücken in Avada von 2020 bis Oktober 2026

Die Tabelle führt die kritischen Lücken auf, die hohen Lücken, die ohne Administratorrechte erreichbar sind, und die, die kein Konto erfordern. Das Datum ist das der Veröffentlichung bei Patchstack; der CVSS-Wert stammt von der Stelle, die die CVE vergeben hat (CNA), sonst von NVD. Keine anerkannte Quelle dokumentiert zum Zeitpunkt dieses Artikels eine Ausnutzung dieser Lücken in freier Wildbahn.

Veröffentlichung	Produkt	Behoben in	Art	CVSS	CVE	Erforderliches Konto
19. April 2022	Builder (in Avada)	3.6.2 (Avada 7.6.2) (betroffen: vor 3.6.2, Avada bis 7.6.1)	SSRF über die Formulare	9,8 (NVD)	CVE-2022-1386	Keins
20. Oktober 2022	Theme	7.8.2	Cross-Site Request Forgery (CSRF)	8,8	CVE-2022-41996	Keins (ein Administrator muss klicken)
10. August 2023	Theme	7.11.2	Datei-Upload (Import von Optionen)	8,5	CVE-2023-39307	Mitarbeiter
10. August 2023	Theme	7.11.2	Entpacken von ZIP-Archiven ohne Prüfung	9,1	CVE-2023-39312	Autor
10. August 2023	Theme	7.11.2	SSRF	7,7	CVE-2023-39313	Mitarbeiter
10. August 2023	Builder	3.11.2	SQL-Injection	8,5	CVE-2023-39309	Angemeldetes Konto
10. August 2023	Builder	3.11.2	CSRF und reflektierte XSS	7,1	CVE-2023-39311, CVE-2023-39306	Keins (das Opfer klickt)
28. Februar 2024	Theme	7.11.5	Datei-Upload (Import von Optionen)	8,8	CVE-2024-1468	Mitarbeiter
21. März 2024	Theme	7.11.7	Auflistung des Ordners mit per Formular hochgeladenen Dateien	5,3	CVE-2024-2340	Keins
12. Februar 2025	Theme und Builder	7.11.14 und 3.11.14 (betroffen: bis 7.11.13 und 3.11.13)	Ausführung von Shortcodes	7,3	CVE-2024-13346, CVE-2024-13345	Keins
13. Mai 2026	Builder	3.15.2	SQL-Injection (wenn WooCommerce deaktiviert wurde)	7,5	CVE-2026-4798	Keins
21. Mai 2026	Builder	3.15.3	Ausführung von PHP-Code (render_logics)	9,8	CVE-2026-6279	Keins
15. Juni 2026	Builder	3.15.4	PHP-Objekt-Injection	8,8	CVE-2026-12256	Mitarbeiter
15. Juni 2026	Builder	3.15.5	PHP-Objekt-Injection	9,8	CVE-2026-54194	Mitarbeiter (laut Beschreibung)
16. Juni 2026	Builder	3.15.5	Löschen von Dateien	7,7	CVE-2026-54193	Mitarbeiter
18. Juni 2026	Builder	3.15.4	Löschen von Dateien über ein Formular	9,1	CVE-2026-8713	Keins
18. Juni 2026	Builder	3.15.5	Rechteausweitung	8,8	CVE-2026-56008	Mitarbeiter
22. Juli 2026	Core	5.15.7	Cross-Site Request Forgery (CSRF)	9,6	CVE-2026-65471	Keins (ein Administrator muss klicken)
26. August 2026	Theme und Builder	7.16.1 und 3.16.1 (betroffen: bis 7.16 und 3.16)	Kette aus sechs Lücken, Schreiben von Dateien und Codeausführung	9,8	CVE-2026-18431	Keins

Die übrigen 30 Lücken, fast alle mit mittlerem Schweregrad, lassen sich so zusammenfassen:

• 2020: zwei Lücken, gemeldet von Jérôme Bruandet (NinTechNet) und am 24. April 2020 in 6.2.3 behoben: fehlende Rechteprüfungen, über die ein angemeldeter Benutzer Beiträge anlegen, ändern oder löschen konnte, und eine gespeicherte XSS (CVE-2020-36711).
• 2021: keine bei Patchstack; WPScan listet zwei XSS, behoben in 7.4.2 (bbPress-Suche und Formulareinträge).
• 2023: zwei fehlende Zugriffskontrollen, eine im Theme, eine im Builder, veröffentlicht mit der Reihe vom 10. August.
• 2024: eine SQL-Injection nur für Administratoren (7,2), Formulareinträge, die ein Mitarbeiter lesen konnte, eine SSRF und zwei Mitarbeiter-XSS, eine CSRF und das Lesen passwortgeschützter Beiträge.
• 2025: zwei fehlende Zugriffskontrollen im Theme und vier Mitarbeiter-XSS im Builder.
• 2026 bis zum 1. Oktober: zwölf mittlere Lücken, vor allem im Builder (XSS, fehlende Zugriffskontrollen, Lesen von Dateien durch einen Abonnenten, eingeschränkte Ausführung von WordPress-Aktionen), zwei in Avada Core und eine CSRF im Theme, dazu eine mit 7,1 bewertete reflektierte XSS im Builder.

Die bemerkenswerten Lücken erklärt

2022: Formulare als Relais missbraucht

Calum Elrick von Rootshell Security entdeckte, dass ein Parameter der Formulare von Avada Builder nicht geprüft wurde: Ein anonymer Besucher konnte den Server HTTP-Anfragen an beliebige Adressen schicken lassen, auch an das lokale Netzwerk des Hostings oder an Dienste, die nur auf dem Rechner selbst lauschen, und die Antwort lesen (CVE-2022-1386). ThemeFusion behob sie in Avada 7.6.2, veröffentlicht als Sicherheitsupdate, zusammen mit Builder 3.6.2.

August 2023: acht Lücken auf einmal

Rafie Muhammad, Forscher bei Patchstack, meldete dem Hersteller am 6. Juli 2023 eine Reihe von Lücken im Theme und im Builder. Die schwersten betrafen den Datei-Upload: Die Funktion zum Import von Optionen ließ einen Mitarbeiter eine PHP-Datei ablegen (CVE-2023-39307), und das Entpacken von ZIP-Archiven erlaubte einem Autor dasselbe (CVE-2023-39312). Hinzu kamen eine SSRF, eine SQL-Injection im Builder, eine CSRF und eine reflektierte XSS. Die korrigierten Versionen, Avada 7.11.2 und Builder 3.11.2, erschienen am 11. Juli, fünf Tage nach der Meldung; Patchstack veröffentlichte die Details am 10. August. Sechs Monate später fand Muhammad Zeeshan in derselben Importfunktion erneut einen Datei-Upload durch einen Mitarbeiter (CVE-2024-1468, behoben in 7.11.5).

Februar 2025: Shortcodes für alle

Michael Mazzolini zeigte, dass eine Aktion von Avada einen empfangenen Wert ohne Prüfung an die Funktion do_shortcode übergab. Jeder Besucher konnte also die Shortcodes der Website ausführen, mit einer Auswirkung, die von den verfügbaren Shortcodes abhängt. Derselbe Fehler steckte im Theme und im Builder, daher zwei CVE (CVE-2024-13346 und CVE-2024-13345), behoben in 7.11.14 und 3.11.14. Divi hatte 2026 eine Lücke derselben Art, beschrieben in unserer Chronologie der Lücken in Divi.

Mai und Juni 2026: der Builder ohne Konto offen

Im Frühjahr 2026 häuften sich die schwersten Lücken des Builders; bei den ersten drei war die korrigierte Version vor der Veröffentlichung erschienen:

• Codeausführung (CVE-2026-6279, 9,8): Das Attribut render_logics enthielt einen JSON-Block, von dem ein Wert direkt an die PHP-Funktion call_user_func() übergeben wurde, ohne Whitelist. Der betroffene AJAX-Endpunkt war für nicht angemeldete Besucher offen und nur durch ein Token geschützt, das im Code der öffentlichen Seiten sichtbar war. Am 15. April 2026 von Tin Pham, Trong Pham und Hao Ngo an ThemeFusion gemeldet, behoben in 3.15.3 (12. Mai), veröffentlicht am 20. Mai.
• Löschen von Dateien (CVE-2026-8713, 9,1): Auf einer Website, deren Avada-Formular die Antworten speichert, konnte ein Besucher einen Pfad wie ../../../wp-config.php in eine Antwort schmuggeln und dann die automatische Bereinigung personenbezogener Daten auslösen, die die Zieldatei löschte. Ohne wp-config.php startet WordPress wieder mit dem Installationsbildschirm, was den Weg zu einer Übernahme öffnet. Behoben in 3.15.4.
• SQL-Injection (CVE-2026-4798, 7,5): ohne Konto ausnutzbar, aber nur, wenn WooCommerce genutzt und dann deaktiviert worden war. Von Rafie Muhammad über das Programm von Wordfence gemeldet, behoben in 3.15.2.
• Patchstack-Reihe vom Juni: Derselbe Forscher, daroo, meldete außerdem zwei PHP-Objekt-Injections, ein Löschen von Dateien und eine Rechteausweitung, die einem Mitarbeiter zugänglich waren, behoben in 3.15.4 und 3.15.5. Siehe unseren Artikel über PHP-Objekt-Injection.

August 2026: eine von einer KI gefundene Kette

CVE-2026-18431 ist die Lücke in der Geschichte von Avada, über die am meisten berichtet wurde. Am 30. Juli 2026 identifizierte und reproduzierte Argus, ein von Wordfence entwickeltes System zur automatisierten Analyse mit Agenten, eine Kette aus sechs Schwächen (Autorisierung, Eingabevalidierung, Vertrauensgrenze, Dateiverwaltung) zwischen Theme und Builder. Aneinandergereiht erlaubten sie es einem anonymen Besucher, eine PHP-Datei auf den Server zu schreiben und auszuführen, ganz ohne Zutun eines Benutzers. Laut BleepingComputer schrieb Argus auch den Demonstrations-Exploit, in etwa zwei Stunden. Wordfence übermittelte die Details am 5. August, ThemeFusion bestätigte den Empfang am 10. August und veröffentlichte Avada 7.16.1 und Builder 3.16.1 kurz vor der Ankündigung von Wordfence am 25. August. Wordfence urteilte, dass die Voraussetzungen (bestimmte von einem Administrator erstellte Inhalte) die Zahl der Ziele kaum verringerten, und veröffentlichte keine technischen Details. Beide Komponenten müssen zusammen aktualisiert werden.

Critical Avada Theme RCE Alert - Update nowMit dem Klick wird das Video von youtube-nocookie.com (YouTube, Google) geladen. Vor deinem Klick wird nichts geladen.

Bei Avada Core zielte die CSRF CVE-2026-65471 (9,6 laut Patchstack) auf einen angemeldeten Administrator, der dazu gebracht wird, einen präparierten Link zu öffnen; sie ist in 5.15.7 behoben.

Was diese Geschichte zeigt

• Der Builder bündelt das Risiko: Von den 22 Lücken des Jahres 2026 betreffen 17 Avada Builder, davon drei ohne Konto ausnutzbar mit einem Wert von 9 oder mehr. Es ist die Komponente, die du vorrangig überwachen solltest, wie Elementor bei den kostenlosen Buildern.
• Eine Beschleunigung 2026: Die Bug-Bounty-Programme von Wordfence und Patchstack und inzwischen auch die automatisierte Analyse finden mehr Lücken, und schneller. Die jährliche Zahl stieg von 8 oder 9 auf 22.
• Korrekturen vor der Ankündigung: Bei den kritischen Lücken von 2026 erschien die korrigierte Version vor der Veröffentlichung, manchmal mehrere Wochen vorher. Eine aktuelle Website war geschützt; eine nicht registrierte nicht.
• Dieselben Funktionen tauchen wieder auf: der Import von Optionen (2023, dann 2024), die Formulare (2022, 2024, 2026) und die Ausführung von Shortcodes.

Auch der WordPress-Core veröffentlicht regelmäßig Korrekturen, wie unsere Chronologie der WordPress-Sicherheitsversionen zeigt.

So schützt du dich

• Aktualisiere alle drei Komponenten: mindestens Avada 7.16.1 und Avada Builder 3.16.1 sowie Avada Core 5.15.7. Wer das Theme ohne den Builder aktualisiert, lässt die Kette vom August 2026 offen.
• Registriere jede Website mit einem gültigen Kaufcode im Avada-Dashboard, sonst kommt kein Update an. Verzichte auf Nulled-Kopien (siehe unsere Erklärungen).
• Automatisiere, was sich automatisieren lässt: Unser Leitfaden zu automatischen Updates erklärt, wie du sie absicherst, auch für Komponenten, die nicht von wordpress.org stammen.
• Räume auf: Lösche ungenutzte Avada-Formulare, deaktiviere das Speichern der Antworten, wenn du es nicht brauchst, und entferne aufgegebene Plugins und Themes (siehe unseren Artikel). Begrenze die Mitarbeiter- und Autorenkonten (siehe Rollen und minimale Rechte).
• Ergänze eine Anwendungs-Firewall, um die Zeit zwischen einer Ankündigung und deinem Update abzudecken (unser Vergleich der WordPress-Firewalls), und verfolge die Meldungen zu deinen Themes (unsere Methode).

WP Masquerade Pro hilft dir, keine Meldung zu verpassen, auch bei einem Theme und Plugins, die wordpress.org nicht verfolgt. Es vergleicht täglich die installierten Versionen mit der öffentlichen Datenbank WPVulnerability.net und schickt eine Lückenwarnung per E-Mail mit Schweregrad und korrigierter Version; der Mitgliederbereich zeigt ausstehende Updates und verwundbare Websites, und die Integritätsprüfung erkennt veränderte Core-Dateien, was nach einer Lücke zum Schreiben von Dateien nützlich ist. WP Masquerade warnt: Es aktualisiert Avada nicht, registriert deine Lizenz nicht und ist keine Firewall. Für eine Firewall sieh dir unseren Vergleich der besten Sicherheits-Plugins für WordPress an.

Quellen

• ThemeForest: Avada, Produktseite und Verkaufszähler (externer Link, öffnet in neuem Tab)
• Avada: How To Register Avada (Dokumentation) (externer Link, öffnet in neuem Tab)
• CVE: CVE-2022-1386, Fusion Builder vor 3.6.2 (16. Mai 2022) (externer Link, öffnet in neuem Tab)
• CVE: CVE-2026-18431, Avada 7.16 und Fusion Builder 3.16 (26. August 2026) (externer Link, öffnet in neuem Tab)

Weitere herangezogene Quellen: weitere CVE-Einträge, Veröffentlichungen von Sicherheitsforschern, Berichte der Fachpresse, Datenbanken von WPScan und Patchstack.