Avada Builder: kritische Lücke ohne Login, die fünfte seit Mai

Michael Dobler

Autor Dr. Web

12. Oktober 2026

3 Min. Lesezeit

Im Avada Builder, dem Seitenbaukasten des WordPress-Themes Avada, konnten Fremde über ein gewöhnliches Kontaktformular interne WordPress-Routinen auslösen. Wordfence bewertet die am 9. Oktober veröffentlichte Lücke mit 9,1 von 10 Punkten. Version 3.16.2 behebt den Fehler, das automatische Update erhalten aber nur registrierte Installationen.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Die neue Avada-Sicherheitslücke CVE-2026-97670 steckt im Formular-Baukasten des Builders bis Version 3.16.1. Ohne Anmeldung ließen sich darüber Beiträge, Seiten und Kommentare aus dem Papierkorb endgültig löschen, wie ein Test von Wordfence belegte.^[1] Hersteller ThemeFusion veröffentlichte die Korrektur schon am 30. September mit Avada 7.16.2, neun Tage vor der Offenlegung.^[2]

Das Wichtigste in Kürze

CVE-2026-97670 betrifft den Avada Builder bis 3.16.1 und ist seit Version 3.16.2 behoben (CVSS 3.1: 9,1, vergeben von Wordfence).
Angreifer brauchen kein Konto, nur ein veröffentlichtes Avada-Formular mit Benachrichtigungs-Mail in der Standardeinstellung.
Seit Mai hat Wordfence fünf Lücken ohne Login im Builder veröffentlicht.
Angriffe waren bis zum 12. Oktober nicht bekannt.

Wie wird ein Formularfeld zum Schalter?

Weißes Papier mit orangefarbenem Schalter und Text „Bitte nicht drücken“ — Avada fügte Formulareinträge in Benachrichtigungs-Mails ein, die über die Dynamic-Data-Engine verarbeitet wurden und WordPress-Aktionen auslösten

Avada setzte in Benachrichtigungs-Mails die Eingaben aus dem Formular ein. Die Feldinhalte liefen danach durch die Dynamic-Data-Engine des Builders, die eigene Platzhalter auswertet, darunter einen zum Start von WordPress-Aktionen. Ein präpariertes Formularfeld löste so beim Versand der Mail solche Aktionen aus, mehrere pro Anfrage.^[1]

Seit Version 3.16.1 kontrolliert Avada zwar, ob solche Platzhalter aus einer vertrauenswürdigen Quelle stammen. Die Prüfung erfasste laut Wordfence aber nur einen Eingabeweg und ließ den Formularversand aus. Die Folgen reichen vom endgültig geleerten Papierkorb über lahmgelegte Websites bis zu weiteren Schreibzugriffen, sofern andere Plugins anfällige Aktionen mitbringen. Voraussetzung ist ein Formular mit Versand per AJAX und einer Mail, die Feldinhalte einfügt, laut Wordfence die Standardeinstellung. Die Lücke steht auf der Stufe Patch verfügbar.

Warum häufen sich die Avada-Lücken?

Seit Mai hat Wordfence fünf Lücken ohne Login im Avada Builder veröffentlicht: eine SQL-Injection, zwei Wege zur Codeausführung, eine Dateilöschung über Formulareinträge und nun den Aktions-Aufruf.^[3] Über die SQL-Lücke vom Mai und die Kette aus sechs Fehlern im August hat Dr. Web berichtet.

Der Builder bringt eine eigene Vorlagensprache mit, in der jede Platzhalter-Funktion fremden Eingaben einen weiteren Weg in die Website öffnet. Platzhalter-Lücken meldete Dr. Web heute auch bei WPForms. Mitentdecker der neuen Lücke ist wie schon im August Argus, der KI-Agent von Wordfence. Die Frist bis zum ersten Angriff kann knapp ausfallen: Die Bricksforge-Lücke nutzen Angreifer seit dem 7. Oktober aus, kurz nach ihrer Offenlegung.

Avada Builder: fünf Lücken ohne Login seit Mai

Steckbrief und Zeitablauf, Stand 12. Oktober 2026

9,1

Punkte nach CVSS 3.1 vergibt Wordfence für CVE-2026-97670, Schweregrad kritisch

968.000

aktive Installationen des Builders schätzt Wordfence

3.16.2

heißt die korrigierte Builder-Version, erschienen am 30. September mit Avada 7.16.2

9 Tage

lagen zwischen dem Update und der Offenlegung durch Wordfence

Die fünf Lücken ohne Anmeldung

12. Mai

SQL-Injection

CVE-2026-4798, CVSS 7,5, Builder bis 3.15.1

20. Mai

Codeausführung

CVE-2026-6279, CVSS 9,8, Builder bis 3.15.2

18. Juni

Dateilöschung

CVE-2026-8713 über Formulareinträge, CVSS 9,1, Builder bis 3.15.3

25. August

Codeausführung

CVE-2026-18431, Kette aus sechs Fehlern, CVSS 9,8, Builder bis 3.16

9. Oktober

Aktions-Aufruf

CVE-2026-97670 über Formularfelder, CVSS 9,1, Builder bis 3.16.1

Fünf Lücken ohne Login in fünf Monaten: Bei Avada gehört die Registrierung des Themes zur Sicherheit, nicht zur Lizenzpflege.
Markus Seyfferth, Chefredakteur Dr. Web

Was sollten Avada-Betreiber jetzt tun?

Wordfence schätzt die aktiven Installationen des Builders auf rund 968.000,^[3] ThemeFusion spricht von mehr als einer Million Nutzern.^[4] Wie viele davon schon auf 3.16.2 laufen, veröffentlicht der Hersteller nicht. Diese Schritte schließen die Lücke:

Aktualisieren: Spielen Sie Avada 7.16.2 samt Avada Builder 3.16.2 ein, beide gehören zusammen.
Registrierung prüfen: Ohne hinterlegten Kaufcode liefert ThemeFusion keine Updates ins Dashboard.^[5] Agenturen gleichen deshalb die Lizenzen aller Kundensites ab.
Übergang absichern: Bis zum Update entfernen Sie Feld-Platzhalter aus den Benachrichtigungs-Mails Ihrer Formulare.
Papierkorb kontrollieren: Fehlen dort Einträge, hilft nur ein Backup. Passende Werkzeuge zeigt der Vergleich der Backup-Plugins.

Gelöschte Kommentare enthalten Namen und E-Mail-Adressen. Die DSGVO wertet auch die unrechtmäßige Vernichtung solcher Daten als Datenpanne (Art. 4 Nr. 12). Verantwortliche melden eine solche Panne binnen 72 Stunden der Aufsicht, außer der Vorfall birgt voraussichtlich kein Risiko für die Betroffenen (Art. 33).^[6] Hoster mit vorgeschalteter Firewall finden Sie im WordPress-Hosting-Vergleich.

Was ist Avada?

Avada ist ein kommerzielles WordPress-Theme des Herstellers ThemeFusion, verkauft über den Marktplatz ThemeForest. Zum Paket gehört der Avada Builder, ein Seitenbaukasten mit Formularen, Kopf- und Fußzeilen. ThemeFusion nennt mehr als eine Million Nutzer.

Welche Avada-Versionen sind betroffen?

Betroffen ist der Avada Builder bis Version 3.16.1, ausgeliefert mit Avada bis 7.16.1. Behoben ist die Lücke CVE-2026-97670 in Builder 3.16.2, den ThemeFusion am 30. September 2026 zusammen mit Avada 7.16.2 veröffentlicht hat.

Wie aktualisiere ich Avada?

Auf registrierten Websites erscheint das Update im WordPress-Dashboard, dort spielen Sie Theme und Builder gemeinsam ein. Für die Registrierung genügt der Kaufcode aus dem ThemeForest-Konto. Ohne Registrierung laden Sie das Paket bei ThemeForest herunter und installieren das Theme von Hand.

Was bedeutet ein CVSS-Wert von 9,1?

Der CVSS-Wert beschreibt die technische Schwere einer Lücke auf einer Skala von 0 bis 10, ab 9,0 gilt sie als kritisch. Wordfence vergibt 9,1, weil Angreifer ohne Konto und ohne Mithilfe eines Nutzers Inhalte verändern und eine Website lahmlegen können.

Wird die Avada-Lücke schon ausgenutzt?

Bis zum 12. Oktober 2026 meldeten weder Wordfence noch die US-Behörde CISA Angriffe auf CVE-2026-97670. Die Lücke steht damit auf der Stufe Patch verfügbar. Betreiber sollten das Update trotzdem sofort einspielen.

Was ist Wordfence Argus?

Argus ist ein KI-Agent des Sicherheitsanbieters Wordfence, der gezielt nach mehrstufigen Lücken in WordPress-Erweiterungen sucht. Im August spürte Argus eine Kette aus sechs Fehlern in Avada auf, die neue Lücke CVE-2026-97670 entdeckte der Agent zusammen mit der Forscherin Chloe Chamberland.