Podatności Divi

Motyw Divi dla WordPressa jest podatny na Server-Side Request Forgery (SSRF) we wszystkich wersjach do 4.27.6 włącznie. Podatność wynika z użycia funkcji `wp_remote_get()` zamiast `wp_safe_remote_get()` w funkcji `et_pb_set_video_oembed_thumbnail_resolution()`, co nie ogranicza żądań do prywatnych lub zarezerwowanych zakresów IP. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wysyłanie żądań do dowolnych lokalizacji z serwera aplikacji. Odpowiedź nie jest zwracana atakującemu (blind SSRF), ale istnieją orakle statusu i czasu.

Motyw Divi dla WordPressa jest podatny na DOM-Based Stored Cross-Site Scripting przez atrybut `image_src` shortcode'a `et_pb_video_slider_item` we wszystkich wersjach do 4.27.6 włącznie. Podatność wynika z tego, że pole `image_src` nie jest uwzględnione na białej liście `$url_options`, więc nie jest poddawane `esc_url_raw()` podczas zapisu. Po stronie serwera wartość jest renderowana w atrybucie HTML `data-image` za pomocą `esc_attr()`, ale kod JavaScript po stronie klienta odczytuje ten atrybut przez jQuery `.data('image')`, co zwraca zdekodowaną wartość, która jest następnie wstrzykiwana do DOM bez ponownego escapowania. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się po najechaniu na miniaturę karuzeli.

Motyw Divi dla WordPressa przed wersją 5.9.0 nieprawidłowo escapuje niektóre ustawienia modułu Social Media Follow przed wyświetleniem ich w atrybutach linków, co pozwala użytkownikom z rolą co najmniej współautora (contributor) na przechowywanie JavaScript, który wykona się, gdy użytkownik z wyższymi uprawnieniami, np. administrator, wyświetli wpis.