CVE-2026-3851 in Divi Plugin
الملخص
بحسب VulDB • 02/09/2026
تتميز سمة Divi لـ WordPress بضعف في تخزين برمجيات Cross-Site Scripting (XSS) عبر تنسيق JSON القديم الخاص بميزة المحتوى الديناميكي في جميع الإصدارات حتى 4.27.6 شاملاً. يعود ذلك إلى عيبين متراكمين: (1) فلتر التعقيم عند الحفظ `et_builder_sanitize_dynamic_content_fields()` يبحث فقط عن علامات المحتوى الديناميكي بتنسيق `@ET-DC@...@`، لكن محرك العرض يدعم أيضاً تنسيق JSON القديم الذي يتم تحويله بصمت أثناء وقت العرض، مما يتجاوز تماماً فلتر وقت الحفظ. و(2) محلل `post_meta_key` في `et_builder_filter_resolve_default_dynamic_content()` لا يطبق دالة `wp_kses_post()` على قيمة الميتا المحللة عندما تكون `enable_html` مضبوطة على `on`، حيث يمرر ناتج `get_post_meta()` الخام مباشرة إلى الصفحة. هذا يجعل من الممكن للمهاجمين المصادق عليهم، الذين يمتلكون وصولاً بمستوى المساهم وما فوقه، حقن نصوص ويب عشوائية في الصفحات التي ستُنفذ كلما قام مستخدم بالوصول إلى صفحة مُحقونة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.