CVE-2026-8713: Kritisk fejl i Avada Builder til WordPress
Avada (Fusion) Builder til WordPress har en kritisk sårbarhed. Angribere kan slette filer uden login. Opdatér til nyeste version.
Hvad er det?
CVE-2026-8713 er en sårbarhed i WordPress-pluginnet Avada (Fusion) Builder, som mange virksomheder bruger til at designe og opbygge deres hjemmeside. Fejlen ligger i funktionen maybe_delete_files, der ikke tjekker filstier korrekt. Det betyder, at en angriber kan sende en sti-traversering, en teknik hvor tegnkombinationen ../ bruges til at bevæge sig uden for den tilladte mappe, og få pluginnet til at slette vilkårlige filer på serveren. Angrebet kræver, at der findes en offentliggjort Avada-formular, som er sat til at gemme indsendelser i databasen. Angriberen udnytter samtidig felterne for opbevaringsperiode og oprydningshandling til at tvinge en automatisk sletning i gang, uden at en administrator skal foretage sig noget. Rammes den rigtige fil, som wp-config.php der indeholder databaseoplysninger, kan det føre til fuld overtagelse af serveren.
Hvem rammer det?
Sårbarheden rammer alle WordPress-sites, der bruger Avada-temaet eller den selvstændige Fusion Builder-plugin i version 3.15.3 eller tidligere. Avada er et af de mest solgte WordPress-temaer og bruges af mange danske virksomheder, bureauer og foreninger til virksomhedswebsites, landingssider og webshops. Særligt udsatte er sites, hvor der er en aktiv, offentliggjort Avada-formular, for eksempel en kontaktformular eller tilmeldingsformular, der er sat op til at gemme indsendelser i databasen.
Hvad kan ske?
En angriber kan uden at logge ind slette centrale filer på serveren. Rammes wp-config.php, som indeholder adgangskoder til databasen, kan WordPress ende i en tilstand, hvor sitet selv beder om at blive geninstalleret. Angriberen kan derefter indtaste egne databaseoplysninger og få fuld kontrol over hjemmesiden og den underliggende server. Det kan betyde nedetid, tab af data og i værste fald mulighed for at køre skadelig kode på serveren.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver hverken login eller nogen handling fra en bruger og kan udføres over internettet med lav teknisk kompleksitet. Det eneste krav er, at der findes en offentliggjort Avada-formular på sitet, som gemmer indsendelser i databasen. Der er pr. offentliggørelsesdatoen ikke rapporteret om udnyttelse i praksis, men fordi angrebet er let at automatisere, bør det håndteres med høj prioritet.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden:
- Opdatér Avada-temaet og Fusion Builder-pluginnet til en version efter 3.15.3 via wp-admin eller jeres udbyder.
- Tjek, om jeres site har en offentliggjort Avada-formular, der gemmer indsendelser i databasen, og deaktivér den midlertidigt, hvis I ikke kan opdatere med det samme.
- Kontrollér, at wp-config.php og andre kritiske filer stadig findes og ikke er ændret uventet.
- Tag en frisk fuld backup af filer og database, når opdateringen er gennemført.
- Gennemgå server- og adgangslogfiler for mistænkelige kald til admin-ajax.php med formularnavnet fusion_form_submit_ajax.
- Er sitet allerede berørt, eller er I i tvivl om egen håndtering, bør I hente ekstern it-sikkerhedshjælp til at gennemgå sitet.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer Avada-temaet og Fusion Builder-pluginnet til den nyeste version hurtigst muligt, gerne inden for et døgn. Har jeres site en offentliggjort formular, der gemmer indsendelser i databasen, bør opdateringen prioriteres allerøverst. Det er kun forsvarligt at vente til den normale opdateringscyklus, hvis I med sikkerhed kan bekræfte, at ingen Avada-formularer på sitet gemmer indsendelser i databasen.
Tidslinje
Konkrete eksempler
Kontaktformular på et dansk håndværkersite
Et mindre dansk håndværkerfirma bruger Avada-temaet til sin hjemmeside og har en kontaktformular sat op til at gemme henvendelser i databasen. En angriber sender en manipuleret indsendelse via formularen og udnytter samtidig indstillinger for automatisk oprydning til at få systemet til at slette wp-config.php. Sitet går ned, og virksomheden må gendanne fra backup og skifte alle adgangskoder, før hjemmesiden kan sættes i drift igen.
Ofte stillede spørgsmål
Hvordan ved vi, om vores WordPress-site bruger Avada eller Fusion Builder?
Log ind i wp-admin og se under Temaer og under Plugins, om Avada eller Fusion Builder står som installeret, og tjek versionsnummeret i højre side af oversigten.
Er vi ramt, hvis vi slet ikke bruger formularer på sitet?
Risikoen er lavere, hvis I ikke har nogen offentliggjort Avada-formular, der gemmer indsendelser i databasen. Vi anbefaler alligevel at opdatere, da formularer nemt kan blive tilføjet eller genaktiveret senere.
Kan vi vente til weekenden med at opdatere?
Nej. Sårbarheden kan udnyttes uden login og uden brugerhandling, og angrebet kan automatiseres. Vi anbefaler at opdatere inden for et døgn.
Hvordan tjekker vi, om vi allerede er blevet ramt?
Se efter, om wp-config.php eller andre centrale filer mangler eller er ændret, og gennemgå server- og adgangslogfiler for uventede kald til admin-ajax.php med formularnavnet fusion_form_submit_ajax.
Skal vi anmelde hændelsen, hvis vi finder tegn på angreb?
Hvis persondata er kompromitteret som følge af angrebet, har I som udgangspunkt pligt til at anmelde det til Datatilsynet inden for 72 timer efter, at I bliver bekendt med hændelsen.
Hvad gør vi, hvis wp-config.php allerede er slettet?
Gendan filen fra en frisk backup, skift alle databaseadgangskoder, og gennemgå sitet grundigt for tegn på yderligere kompromittering, før det sættes i drift igen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Avada (Fusion) Builder plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the maybe_delete_files function in all versions up to, and including, 3.15.3. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). The attack requires a published Avada form configured to save entries to the database; an unauthenticated attacker submits a path-traversal payload via the wp_ajax_nopriv_fusion_form_submit_ajax handler while also controlling the fusion_privacy_expiration_interval and privacy_expiration_action fields to force an immediate ‘delete’ cleanup, causing the planted entry to be automatically processed by the Fusion_Form_DB_Privacy shutdown-hook routine without any administrator interaction.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.