CVE-2026-3850
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Motyw Divi dla WordPress jest podatny na Stored Cross-Site Scripting przez parametr `redirect_url` w shortcode `et_pb_contact_form` we wszystkich wersjach do 4.27.6 włącznie. Atrybut `redirect_url` jest sanityzowany funkcją `esc_attr()` zamiast `esc_url()` przed renderowaniem do atrybutu HTML `data-redirect_url`. Dodatkowo `redirect_url` nie znajduje się w tablicy `$url_options` w `class-et-builder-element.php`, więc nie otrzymuje sanityzacji `esc_url_raw()` podczas parsowania shortcode. Po udanym wysłaniu formularza JavaScript po stronie klienta odczytuje ten atrybut i przekazuje go bezpośrednio do `window.location.href`, wykonując dowolny JavaScript z URI `javascript:`. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik wyśle formularz kontaktowy.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się po wysłaniu formularza kontaktowego, co może prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania wśród odwiedzających.
Rekomendacja
Zaktualizuj motyw Divi do wersji, która zawiera poprawkę (powyżej 4.27.6). Dodatkowo ogranicz uprawnienia Contributor i wyżej do zaufanych użytkowników.
Inne podatności w Divi theme
Zobacz wszystkie- CVE-2026-3852Średnie
Motyw Divi dla WordPressa jest podatny na Stored Cross-Site Scripting przez atrybut `skype_url` w module Social Media Follow we wszystkich wersjach do 4.27.6 włącznie. Wynika to z trójstopniowej awarii sanityzacji: pole nie jest na białej liście, renderowanie pomija esc_url(), a tylko sanitize_text_field() jest stosowane, co pozwala na złamanie atrybutu. Uwierzytelnieni atakujący z dostępem na poziomie Contributor i wyżej mogą wstrzykiwać skrypty.
- CVE-2026-3851Średnie
Motyw Divi dla WordPressa jest podatny na trwały cross-site scripting przez funkcję Dynamic Content w starszym formacie JSON we wszystkich wersjach do 4.27.6 włącznie. Wynika to z dwóch nakładających się wad: (1) filtr sanityzacji przy zapisie `et_builder_sanitize_dynamic_content_fields()` szuka tylko znaczników dynamicznej treści w formacie `@ET-DC@...@`, ale silnik renderujący obsługuje również starszy format JSON, który jest po cichu konwertowany w czasie renderowania, całkowicie omijając filtr przy zapisie, oraz (2) resolver `post_meta_key` w `et_builder_filter_resolve_default_dynamic_content()` nie stosuje `wp_kses_post()` do rozwiązanej wartości meta, gdy `enable_html` jest ustawione na `on`, przekazując surowe dane z `get_post_meta()` bezpośrednio na stronę. To umożliwia uwierzytelnionym atakującym z dostępem na poziomie Współautora i wyżej wstrzykiwanie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Oryginalny opis (angielski, źródło NVD)
The Divi theme for WordPress is vulnerable to Stored Cross-Site Scripting via the `redirect_url` parameter of the `et_pb_contact_form` shortcode in all versions up to, and including, 4.27.6. This is due to the `redirect_url` attribute being sanitized with `esc_attr()` instead of `esc_url()` before being rendered into the `data-redirect_url` HTML data attribute. Additionally, `redirect_url` is absent from the hardcoded `$url_options` array in `class-et-builder-element.php`, so it does not receive `esc_url_raw()` sanitization during shortcode parsing. After a successful form submission, client-side JavaScript reads this data attribute and passes it directly to `window.location.href`, executing arbitrary JavaScript from a `javascript:` URI. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that execute whenever a user submits the contact form.