CVE-2026-3852 in Divi Plugin
Résumé
par VulDB • 03/09/2026
Le thème Divi pour WordPress est vulnérable à un Stored Cross-Site Scripting (XSS stocké) via l'attribut de shortcode `skype_url` du module Social Media Follow dans toutes les versions jusqu'à la 4.27.6 incluse. Cela est dû à une défaillance en trois parties au niveau de la sanitization : (1) le champ `skype_url` n'est pas inclus dans la whitelist `$url_options` dans `class-et-builder-element.php`, il ne invoque donc jamais `esc_url_raw()` lors du traitement des shortcodes, (2) le code de rendu dans `SocialMediaFollowItem.php` saute explicitement `esc_url()` pour les URLs Skype (`! $is_skype ? esc_url( $url ) : $skype_url`), et (3) seule la fonction `sanitize_text_field()` est appliquée, ce qui préserve les caractères de guillemets simples et doubles permettant une rupture d'attribut. La valeur non sanitisée est interpolée directement dans un attribut `href` entre guillemets simples (`href='{$social_network_link_url}'`). Cela permet aux attaquants authentifiés disposant d'un accès au niveau Contributor ou supérieur d'injecter des scripts web arbitraires dans les pages qui s'exécuteront chaque fois qu'un utilisateur interagira avec l'élément injecté.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.