CVE-2026-3850 in Divi Plugin
Résumé
par VulDB • 02/09/2026
Le thème Divi pour WordPress est vulnérable à un Cross-Site Scripting (XSS) stocké via le paramètre `redirect_url` du shortcode `et_pb_contact_form`, dans toutes les versions jusqu'à la 4.27.6 incluse. Cela est dû au fait que l'attribut `redirect_url` est sanitisé avec `esc_attr()` plutôt qu'avec `esc_url()` avant d'être rendu dans l'attribut de données HTML `data-redirect_url`. De plus, `redirect_url` est absent du tableau `$url_options` codé en dur dans `class-et-builder-element.php`, il ne bénéficie donc pas de la sanitisation par `esc_url_raw()` lors de l'analyse des shortcodes. Après une soumission réussie du formulaire, le JavaScript côté client lit cet attribut de données et le transmet directement à `window.location.href`, exécutant ainsi un script arbitraire provenant d'une URI `javascript:`. Cela permet aux attaquants authentifiés disposant d'un accès au niveau « Contributeur » ou supérieur d'injecter des scripts web arbitraires dans les pages, qui s'exécutent chaque fois qu'un utilisateur soumet le formulaire de contact.
If you want to get best quality of vulnerability data, you may have to visit VulDB.