Résumé
Le 13 mai 2026, une faille critique a été découverte dans le plugin Avada Builder pour WordPress. Elle permet à des attaquants non authentifiés d’exploiter une faille de type "injection SQL basée sur le temps" via une entrée spécifique de la page. Cette vulnérabilité, liée à une mauvaise protection des données saisies par les utilisateurs, pourrait permettre d’extraire des informations sensibles du site (comme les données des clients ou les informations bancaires) uniquement si le plugin WooCommerce a été utilisé avant d’être désactivé. Cette CVE est référencée dans le catalogue KEV des vulnérabilités activement exploitées.
Solutions
Il est urgent d’installer la mise à jour officielle proposée par le développeur pour corriger cette faille et renforcer la sécurité du plugin.
Dernière mise à jour : 20/10/2026
La faille est activement exploitée : Oui
Details techniques
Score CVSS : 7.5/10
EPSS : 0.46%
Référencée comme KEV : Oui
Code d exploitation disponible : Non
Date d’ajout au KEV : 15/10/2026
Systèmes affectés
• Avada Builder (versions jusqu’à et incluant 3.15.1)
Documentation
• NIST NVD