CVE-2026-4798
El plugin Avada Builder para WordPress es vulnerable a una inyección basada en tiempo de SQL a través del parámetro ‘product_order’ en todas las versiones hasta y inclusive la 3.15.1 debido a la falta de escape adecuado en el parámetro proporcionado por el usuario y la preparación insuficiente de la consulta SQL existente. Esto permite que los atacantes no autenticados agreguen consultas SQL adicionales a las consultas ya existentes, lo que puede utilizarse para extraer información sensible desde la base de datos. Nota: La vulnerabilidad solo puede ser explotada si WooCommerce fue utilizado previamente y luego desactivado.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org