Avada en Avada Builder: kwetsbaarheden en patches sinds 2020

Avada heeft meer dan een miljoen verkopen op ThemeForest, en elke Avada-site brengt twee eigen plugins mee, Avada Builder en Avada Core. Patchstack telt 51 afzonderlijke kwetsbaarheden in dit geheel van mei 2020 tot 1 oktober 2026, waarvan 22 in 2026 alleen, met drie kwetsbaarheden waarmee code kon worden uitgevoerd of bestanden konden worden verwijderd zonder enig account. Hier lees je welke het ernstigst waren, wat je over de rest moet weten, en waarom de registratie van je licentie net zo belangrijk is als de update.

Avada in het kort

Avada is een commercieel multifunctioneel thema van ThemeFusion, verkocht op de marktplaats ThemeForest (Envato). De productpagina vermeldde daar in het najaar van 2026 meer dan een miljoen verkopen (openbare teller van ThemeForest; een verkoop staat niet noodzakelijk voor een actieve site). Het product bestaat uit drie bouwstenen:

• het thema Avada zelf;
• Avada Builder (slug fusion-builder), de bouwer voor pagina's, formulieren en elementen;
• Avada Core (slug fusion-core), dat aanvullende functies aan het thema toevoegt.

Wordfence wees er in augustus 2026 op: Avada Builder is een plugin die het thema vereist, en staat dus op alle Avada-sites. Een kwetsbaarheid in de Builder treft zo mogelijk de volledige geïnstalleerde basis.

Zoals bij elk commercieel thema lopen de updates niet via wordpress.org. Volgens de documentatie van Avada moet je het product registreren met de aankoopcode van ThemeForest om de thema-updates te ontvangen, en de plugins die erbij horen, waaronder Avada Builder, lopen via hetzelfde kanaal van ThemeFusion. Een niet-geregistreerde site of een "nulled" kopie krijgt de patches dus niet: precies het profiel van de sites die maanden na een aankondiging kwetsbaar blijven. Ons artikel over nulled thema's en plugins beschrijft de andere risico's van zulke kopieën.

Tijdlijn van de kwetsbaarheden in Avada van 2020 tot oktober 2026

De tabel bevat de kritieke kwetsbaarheden, de hoge kwetsbaarheden die zonder beheerdersrechten toegankelijk zijn en de kwetsbaarheden waarvoor geen account nodig is. De datum is die van publicatie bij Patchstack; de CVSS-score is die van de instantie die de CVE toekende (CNA), anders die van de NVD. Geen enkele erkende bron documenteert op de datum van dit artikel misbruik van deze kwetsbaarheden in de praktijk.

Publicatie	Product	Gepatcht in	Type	CVSS	CVE	Account vereist
19 april 2022	Builder (in Avada)	3.6.2 (Avada 7.6.2) (getroffen: vóór 3.6.2, Avada tot en met 7.6.1)	SSRF via de formulieren	9,8 (NVD)	CVE-2022-1386	Geen
20 oktober 2022	Thema	7.8.2	Vervalst verzoek (CSRF)	8,8	CVE-2022-41996	Geen (een beheerder moet klikken)
10 augustus 2023	Thema	7.11.2	Bestandsupload (import van opties)	8,5	CVE-2023-39307	Bijdrager
10 augustus 2023	Thema	7.11.2	Uitpakken van ZIP-archief zonder controle	9,1	CVE-2023-39312	Schrijver
10 augustus 2023	Thema	7.11.2	SSRF	7,7	CVE-2023-39313	Bijdrager
10 augustus 2023	Builder	3.11.2	SQL-injectie	8,5	CVE-2023-39309	Ingelogd account
10 augustus 2023	Builder	3.11.2	CSRF en reflected XSS	7,1	CVE-2023-39311, CVE-2023-39306	Geen (het slachtoffer klikt)
28 februari 2024	Thema	7.11.5	Bestandsupload (import van opties)	8,8	CVE-2024-1468	Bijdrager
21 maart 2024	Thema	7.11.7	Inhoudsopgave van de map met via formulieren geüploade bestanden	5,3	CVE-2024-2340	Geen
12 februari 2025	Thema en Builder	7.11.14 en 3.11.14 (getroffen: tot en met 7.11.13 en 3.11.13)	Uitvoeren van shortcodes	7,3	CVE-2024-13346, CVE-2024-13345	Geen
13 mei 2026	Builder	3.15.2	SQL-injectie (als WooCommerce is gedeactiveerd)	7,5	CVE-2026-4798	Geen
21 mei 2026	Builder	3.15.3	Uitvoeren van PHP-code (render_logics)	9,8	CVE-2026-6279	Geen
15 juni 2026	Builder	3.15.4	PHP-objectinjectie	8,8	CVE-2026-12256	Bijdrager
15 juni 2026	Builder	3.15.5	PHP-objectinjectie	9,8	CVE-2026-54194	Bijdrager (volgens de beschrijving)
16 juni 2026	Builder	3.15.5	Verwijderen van bestanden	7,7	CVE-2026-54193	Bijdrager
18 juni 2026	Builder	3.15.4	Verwijderen van bestanden via een formulier	9,1	CVE-2026-8713	Geen
18 juni 2026	Builder	3.15.5	Rechtenescalatie	8,8	CVE-2026-56008	Bijdrager
22 juli 2026	Core	5.15.7	Vervalst verzoek (CSRF)	9,6	CVE-2026-65471	Geen (een beheerder moet klikken)
26 augustus 2026	Thema en Builder	7.16.1 en 3.16.1 (getroffen: tot en met 7.16 en 3.16)	Keten van zes kwetsbaarheden, schrijven van bestanden en code-uitvoering	9,8	CVE-2026-18431	Geen

De 30 andere kwetsbaarheden, bijna allemaal van gemiddelde ernst, samengevat:

• 2020: twee kwetsbaarheden, gemeld door Jérôme Bruandet (NinTechNet) en op 24 april 2020 gepatcht in 6.2.3: ontbrekende rechtencontroles waardoor een ingelogde gebruiker berichten kon aanmaken, wijzigen of verwijderen, en een stored XSS (CVE-2020-36711).
• 2021: geen bij Patchstack; WPScan vermeldt twee XSS, gepatcht in 7.4.2 (bbPress-zoekopdrachten en formulierinzendingen).
• 2023: twee ontbrekende toegangscontroles, een in het thema en een in de Builder, gepubliceerd met de reeks van 10 augustus.
• 2024: een SQL-injectie alleen voor beheerders (7,2), formulierinzendingen leesbaar voor een bijdrager, een SSRF en twee XSS door bijdragers, een CSRF en het lezen van met een wachtwoord beveiligde berichten.
• 2025: twee ontbrekende toegangscontroles in het thema en vier XSS door bijdragers in de Builder.
• 2026 tot 1 oktober: twaalf gemiddelde kwetsbaarheden, vooral in de Builder (XSS, ontbrekende toegangscontroles, lezen van bestanden door een abonnee, beperkt uitvoeren van WordPress-acties), twee in Avada Core en een CSRF in het thema, plus een reflected XSS in de Builder met score 7,1.

De opvallende kwetsbaarheden uitgelegd

2022: formulieren als doorgeefluik

Calum Elrick van Rootshell Security ontdekte dat een parameter van de formulieren van Avada Builder niet werd gecontroleerd: een anonieme bezoeker kon de server HTTP-verzoeken laten sturen naar elk adres, ook naar het lokale netwerk van de hosting of naar diensten die alleen op de machine luisteren, en het antwoord lezen (CVE-2022-1386). ThemeFusion patchte haar in Avada 7.6.2, uitgebracht als beveiligingsupdate, samen met Builder 3.6.2.

Augustus 2023: acht kwetsbaarheden in één keer

Rafie Muhammad, onderzoeker bij Patchstack, meldde de uitgever op 6 juli 2023 een reeks kwetsbaarheden in het thema en de Builder. De ernstigste betroffen bestandsupload: met de importfunctie voor opties kon een bijdrager een PHP-bestand plaatsen (CVE-2023-39307), en het uitpakken van ZIP-archieven liet een schrijver hetzelfde doen (CVE-2023-39312). Daarbij kwamen een SSRF, een SQL-injectie in de Builder, een CSRF en een reflected XSS. De gepatchte versies, Avada 7.11.2 en Builder 3.11.2, verschenen op 11 juli, vijf dagen na de melding; Patchstack publiceerde de details op 10 augustus. Zes maanden later vond Muhammad Zeeshan nog een bestandsupload door een bijdrager in dezelfde importfunctie (CVE-2024-1468, gepatcht in 7.11.5).

Februari 2025: shortcodes binnen ieders bereik

Michael Mazzolini toonde aan dat een actie van Avada een ontvangen waarde zonder controle doorgaf aan de functie do_shortcode. Elke bezoeker kon dus de shortcodes van de site uitvoeren, met een impact die afhangt van de beschikbare shortcodes. Dezelfde fout zat in het thema en in de Builder, vandaar twee CVE's (CVE-2024-13346 en CVE-2024-13345), gepatcht in 7.11.14 en 3.11.14. Divi kende in 2026 een kwetsbaarheid van dezelfde aard, beschreven in onze tijdlijn van de kwetsbaarheden in Divi.

Mei en juni 2026: de Builder open zonder account

Het voorjaar van 2026 bracht de ernstigste kwetsbaarheden in de Builder; voor de eerste drie was de gepatchte versie vóór de publicatie verschenen:

• Code-uitvoering (CVE-2026-6279, 9,8): het attribuut render_logics bevatte een JSON-blok waarvan een waarde rechtstreeks werd doorgegeven aan de PHP-functie call_user_func(), zonder whitelist. Het betrokken AJAX-endpoint stond open voor niet-ingelogde bezoekers en werd alleen beschermd door een token dat zichtbaar was in de code van de openbare pagina's. Op 15 april 2026 aan ThemeFusion gemeld door Tin Pham, Trong Pham en Hao Ngo, gepatcht in 3.15.3 (12 mei), gepubliceerd op 20 mei.
• Verwijderen van bestanden (CVE-2026-8713, 9,1): op een site waar een Avada-formulier de inzendingen opslaat, kon een bezoeker een pad zoals ../../../wp-config.php in een inzending plaatsen en daarna de automatische opschoning van persoonsgegevens starten, die het bedoelde bestand verwijderde. Zonder wp-config.php valt WordPress terug op het installatiescherm, wat de weg opent naar een overname. Gepatcht in 3.15.4.
• SQL-injectie (CVE-2026-4798, 7,5): uitbuitbaar zonder account, maar alleen als WooCommerce was gebruikt en daarna gedeactiveerd. Gemeld door Rafie Muhammad via het programma van Wordfence, gepatcht in 3.15.2.
• Patchstack-reeks van juni: dezelfde onderzoeker, daroo, meldde ook twee PHP-objectinjecties, een verwijdering van bestanden en een rechtenescalatie die voor een bijdrager toegankelijk waren, gepatcht in 3.15.4 en 3.15.5. Zie ons artikel over PHP-objectinjectie.

Augustus 2026: een keten gevonden door een AI

CVE-2026-18431 is de kwetsbaarheid in de geschiedenis van Avada die de meeste media-aandacht kreeg. Op 30 juli 2026 identificeerde en reproduceerde Argus, een door Wordfence ontwikkeld systeem voor geautomatiseerde analyse met agents, een keten van zes zwakke punten (autorisatie, invoervalidatie, vertrouwensgrens, bestandsbeheer) tussen het thema en de Builder. Samen lieten ze een anonieme bezoeker een PHP-bestand op de server schrijven en uitvoeren, zonder enige actie van een gebruiker. Volgens BleepingComputer schreef Argus ook de proof-of-concept-exploit, in ongeveer twee uur. Wordfence gaf de details op 5 augustus door, ThemeFusion bevestigde de ontvangst op 10 augustus en bracht Avada 7.16.1 en Builder 3.16.1 uit vlak vóór de aankondiging van Wordfence, op 25 augustus. Wordfence oordeelde dat de voorwaarden (bepaalde inhoud aangemaakt door een beheerder) het aantal doelwitten nauwelijks verkleinden en publiceerde de technische details niet. Beide onderdelen moeten samen worden bijgewerkt.

Critical Avada Theme RCE Alert - Update nowAls je klikt, wordt de video geladen vanaf youtube-nocookie.com (YouTube, Google). Voor je klik wordt er niets geladen.

Bij Avada Core was de CSRF CVE-2026-65471 (9,6 volgens Patchstack) gericht op een ingelogde beheerder die ertoe werd gebracht een valstriklink te openen; ze is gepatcht in 5.15.7.

Wat deze geschiedenis laat zien

• De Builder concentreert het risico: van de 22 kwetsbaarheden van 2026 betreffen er 17 Avada Builder, waarvan drie uitbuitbaar zonder account met een score van 9 of hoger. Dat is het onderdeel dat je als eerste in de gaten houdt, zoals Elementor bij de gratis paginabouwers.
• Een versnelling in 2026: de bugbountyprogramma's van Wordfence en Patchstack, en nu ook geautomatiseerde analyse, vinden meer kwetsbaarheden, sneller. Het jaarlijkse aantal ging van 8 of 9 naar 22.
• Patches vóór de aankondiging: voor de kritieke kwetsbaarheden van 2026 verscheen de gepatchte versie vóór de publicatie, soms enkele weken eerder. Een bijgewerkte site was beschermd; een niet-geregistreerde site niet.
• Dezelfde functies keren terug: de import van opties (2023 en daarna 2024), de formulieren (2022, 2024, 2026) en het uitvoeren van shortcodes.

Ook de WordPress-core brengt regelmatig patches uit, zoals onze tijdlijn van de WordPress-beveiligingsversies laat zien.

Jezelf beschermen

• Werk de drie onderdelen bij: minstens Avada 7.16.1 en Avada Builder 3.16.1, en Avada Core 5.15.7. Wie het thema bijwerkt zonder de Builder, laat de keten van augustus 2026 open.
• Registreer elke site met een geldige aankoopcode in het Avada-dashboard, anders komt er geen enkele update binnen. Weer nulled kopieën (zie onze uitleg).
• Automatiseer wat kan: onze gids over automatische updates legt uit hoe je ze in goede banen leidt, ook voor onderdelen die niet van wordpress.org komen.
• Ruim op: verwijder ongebruikte Avada-formulieren, schakel het opslaan van inzendingen uit als je dat niet nodig hebt, en verwijder verlaten plugins en thema's (zie ons artikel). Beperk het aantal accounts met de rol Bijdrager en Schrijver (zie rollen en minimale rechten).
• Voeg een applicatiefirewall toe om de periode tussen een aankondiging en jouw update te overbruggen (onze vergelijking van WordPress-firewalls), en volg de aankondigingen over je thema's (onze methode).

WP Masquerade Pro helpt je geen aankondiging te missen, ook niet voor een thema en plugins die wordpress.org niet volgt. Het vergelijkt elke dag de geïnstalleerde versies met de openbare database WPVulnerability.net en stuurt een kwetsbaarheidsmelding per e-mail met de ernst en de gepatchte versie; de klantenzone toont de openstaande updates en de kwetsbare sites, en de integriteitscontrole spoort gewijzigde core-bestanden op, handig na een kwetsbaarheid waarmee bestanden kunnen worden geschreven. WP Masquerade waarschuwt: het werkt Avada niet bij, registreert je licentie niet en is geen firewall. Voor een firewall raadpleeg je onze vergelijking van de beste WordPress-beveiligingsplugins.

Bronnen

• ThemeForest: Avada, productpagina en verkoopteller (externe link, opent in een nieuw tabblad)
• Avada: How To Register Avada (documentatie) (externe link, opent in een nieuw tabblad)
• CVE: CVE-2022-1386, Fusion Builder vóór 3.6.2 (16 mei 2022) (externe link, opent in een nieuw tabblad)
• CVE: CVE-2026-18431, Avada 7.16 en Fusion Builder 3.16 (26 augustus 2026) (externe link, opent in een nieuw tabblad)

Andere geraadpleegde bronnen: andere CVE-registraties, publicaties van beveiligingsonderzoekers, artikelen uit de vakpers, databases van WPScan en Patchstack.