CVE-2026-3853
ŚrednieCVSS 6.4Streszczenie
Motyw Divi dla WordPressa jest podatny na DOM-Based Stored Cross-Site Scripting przez atrybut `image_src` shortcode'a `et_pb_video_slider_item` we wszystkich wersjach do 4.27.6 włącznie. Podatność wynika z tego, że pole `image_src` nie jest uwzględnione na białej liście `$url_options`, więc nie jest poddawane `esc_url_raw()` podczas zapisu. Po stronie serwera wartość jest renderowana w atrybucie HTML `data-image` za pomocą `esc_attr()`, ale kod JavaScript po stronie klienta odczytuje ten atrybut przez jQuery `.data('image')`, co zwraca zdekodowaną wartość, która jest następnie wstrzykiwana do DOM bez ponownego escapowania. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się po najechaniu na miniaturę karuzeli.
Ocena ryzyka
Ryzyko obejmuje przejęcie sesji użytkowników, kradzież danych oraz wykonywanie nieautoryzowanych działań w kontekście przeglądarki ofiary.
Rekomendacja
Zaleca się aktualizację motywu Divi do najnowszej wersji z poprawką. Należy również rozważyć dodanie walidacji po stronie klienta i serwera dla atrybutów URL.
Inne podatności w Divi
Zobacz wszystkie- CVE-2026-4361Średnie
Motyw Divi dla WordPressa jest podatny na Server-Side Request Forgery (SSRF) we wszystkich wersjach do 4.27.6 włącznie. Podatność wynika z użycia funkcji `wp_remote_get()` zamiast `wp_safe_remote_get()` w funkcji `et_pb_set_video_oembed_thumbnail_resolution()`, co nie ogranicza żądań do prywatnych lub zarezerwowanych zakresów IP. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wysyłanie żądań do dowolnych lokalizacji z serwera aplikacji. Odpowiedź nie jest zwracana atakującemu (blind SSRF), ale istnieją orakle statusu i czasu.
- CVE-2026-13712Średnie
Motyw Divi dla WordPressa przed wersją 5.9.0 nieprawidłowo escapuje niektóre ustawienia modułu Social Media Follow przed wyświetleniem ich w atrybutach linków, co pozwala użytkownikom z rolą co najmniej współautora (contributor) na przechowywanie JavaScript, który wykona się, gdy użytkownik z wyższymi uprawnieniami, np. administrator, wyświetli wpis.
Oryginalny opis (angielski, źródło NVD)
The Divi theme for WordPress is vulnerable to DOM-Based Stored Cross-Site Scripting via the `image_src` attribute of the `et_pb_video_slider_item` shortcode in all versions up to, and including, 4.27.6. This is due to the `image_src` field not being included in the `$url_options` whitelist (which only contains `url`, `button_link`, `button_url`), so it never receives `esc_url_raw()` at save time. On the server side, the value is rendered into a `data-image` HTML attribute using `esc_attr()`, which encodes double quotes as `"`. However, the client-side JavaScript carousel code in `custom.unified.js` reads this attribute using jQuery's `.data('image')`, which returns the browser-decoded value (with `"` decoded back to `"`). The decoded value is then concatenated directly into an HTML string and injected into the DOM via `jQuery.after()` without re-escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user hovers over the carousel thumbnail.