Avada | Website Builder For WordPress & WooCommerce — CVE-2026-115346

どんな問題か

The Avada | Website Builder For WordPress & WooCommerce theme for WordPress is vulnerable to Arbitrary File Upload in versions up to, and including, 7.16.2 via the convert_palette_images_to_truecolor() function. This is due to insufficient file type validation before processing uploaded files. This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible.

自分のサイトが該当するかの確認手順

1. WordPressの管理画面にログインし、左メニュー「プラグイン」（またはテーマ）に Avada | Website Builder For WordPress & WooCommerce があるか確認します。
2. あれば、バージョン番号を見て「対象バージョン」に当てはまるか確認します。
3. 当てはまる場合は「更新」ボタンで修正版へ。使っていないプラグインなら削除します。更新ボタンが出ない・怖くて押せない場合は、保守会社か当社へご相談ください。