CVE-2026-4361
ŚrednieCVSS 5.0Streszczenie
Motyw Divi dla WordPressa jest podatny na Server-Side Request Forgery (SSRF) we wszystkich wersjach do 4.27.6 włącznie. Podatność wynika z użycia funkcji `wp_remote_get()` zamiast `wp_safe_remote_get()` w funkcji `et_pb_set_video_oembed_thumbnail_resolution()`, co nie ogranicza żądań do prywatnych lub zarezerwowanych zakresów IP. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wysyłanie żądań do dowolnych lokalizacji z serwera aplikacji. Odpowiedź nie jest zwracana atakującemu (blind SSRF), ale istnieją orakle statusu i czasu.
Ocena ryzyka
Ryzyko obejmuje możliwość skanowania wewnętrznej sieci, dostęp do wewnętrznych usług oraz potencjalne eskalacje ataków na infrastrukturę.
Rekomendacja
Zaleca się aktualizację motywu Divi do najnowszej wersji z poprawką. Należy również rozważyć dodanie reguł firewalla ograniczających wychodzące żądania z serwera.
Inne podatności w Divi
Zobacz wszystkie- CVE-2026-3853Średnie
Motyw Divi dla WordPressa jest podatny na DOM-Based Stored Cross-Site Scripting przez atrybut `image_src` shortcode'a `et_pb_video_slider_item` we wszystkich wersjach do 4.27.6 włącznie. Podatność wynika z tego, że pole `image_src` nie jest uwzględnione na białej liście `$url_options`, więc nie jest poddawane `esc_url_raw()` podczas zapisu. Po stronie serwera wartość jest renderowana w atrybucie HTML `data-image` za pomocą `esc_attr()`, ale kod JavaScript po stronie klienta odczytuje ten atrybut przez jQuery `.data('image')`, co zwraca zdekodowaną wartość, która jest następnie wstrzykiwana do DOM bez ponownego escapowania. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się po najechaniu na miniaturę karuzeli.
- CVE-2026-13712Średnie
Motyw Divi dla WordPressa przed wersją 5.9.0 nieprawidłowo escapuje niektóre ustawienia modułu Social Media Follow przed wyświetleniem ich w atrybutach linków, co pozwala użytkownikom z rolą co najmniej współautora (contributor) na przechowywanie JavaScript, który wykona się, gdy użytkownik z wyższymi uprawnieniami, np. administrator, wyświetli wpis.
Oryginalny opis (angielski, źródło NVD)
The Divi theme for WordPress is vulnerable to Server-Side Request Forgery in all versions up to, and including, 4.27.6. This is due to the `et_pb_set_video_oembed_thumbnail_resolution()` function using `wp_remote_get()` instead of `wp_safe_remote_get()` to fetch a remote image URL, which does not restrict requests to private or reserved IP ranges. This makes it possible for authenticated attackers, with Contributor-level access and above, to make web requests to arbitrary locations originating from the web application server. The response body is not returned to the attacker (blind SSRF), but two oracles exist: a status oracle (the returned URL string differs depending on whether the target responded with HTTP 200) and a timing oracle (response time varies by target reachability).