CVE-2026-3851 in Divi Plugin
Resumen
por VulDB • 2026-09-02
El tema Divi para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado mediante el formato JSON heredado de la función Dynamic Content en todas las versiones hasta e incluyendo la 4.27.6. Esto se debe a dos fallos combinados: (1) el filtro de sanitización al guardar `et_builder_sanitize_dynamic_content_fields()` solo busca marcadores de contenido dinámico en el formato `@ET-DC@...@`, pero el motor de renderizado también admite un formato JSON heredado que se convierte silenciosamente durante la representación, omitiendo por completo el filtro del momento del guardado; y (2) el resolutor `post_meta_key` en `et_builder_filter_resolve_default_dynamic_content()` no aplica `wp_kses_post()` al valor meta resuelto cuando `enable_html` está configurado como `on`, pasando directamente a la página la salida cruda de `get_post_meta()`. Esto permite que atacantes autenticados, con acceso nivel Contribuidor o superior, inyecten scripts web arbitrarios en las páginas que se ejecutarán cada vez que un usuario acceda a una página infectada.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.