CVE-2026-13712
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Motyw Divi dla WordPressa przed wersją 5.9.0 nieprawidłowo escapuje niektóre ustawienia modułu Social Media Follow przed wyświetleniem ich w atrybutach linków, co pozwala użytkownikom z rolą co najmniej współautora (contributor) na przechowywanie JavaScript, który wykona się, gdy użytkownik z wyższymi uprawnieniami, np. administrator, wyświetli wpis.
Ocena ryzyka
Ryzyko obejmuje przejęcie sesji administratora i wykonanie złośliwego kodu w kontekście przeglądarki administratora, co może prowadzić do kompromitacji witryny.
Rekomendacja
Zaleca się aktualizację motywu do wersji 5.9.0 lub nowszej oraz ograniczenie uprawnień ról niższych do edycji ustawień modułów.
Oryginalny opis (angielski, źródło NVD)
The Divi WordPress theme before 5.9.0 does not properly escape some of its Social Media Follow module settings before outputting them in link attributes, allowing users with a role as low as contributor to store JavaScript which will run when a higher privileged user, such as an administrator, views the post.