CVE-2026-4361 in Divi Plugin
Résumé
par VulDB • 05/09/2026
Le thème Divi pour WordPress est vulnérable à une attaque de Server-Side Request Forgery (SSRF) dans toutes les versions jusqu'à la version 4.27.6 incluse. Cette faille est due au fait que la fonction `et_pb_set_video_oembed_thumbnail_resolution()` utilise `wp_remote_get()` plutôt que `wp_safe_remote_get()` pour récupérer une URL d'image distante, ce qui ne restreint pas les requêtes aux plages d'adresses IP privées ou réservées. Cela permet à des attaquants authentifiés disposant d'un accès de niveau « Contributeur » (Contributor) et supérieur d'effectuer des requêtes web vers n'importe quelle destination depuis le serveur de l'application web. Le corps de la réponse n'est pas renvoyé à l'attaquant (SSRF aveugle), mais deux oracles existent : un oracle de statut (la chaîne URL retournée diffère selon que la cible répond avec un code HTTP 200) et un oracle temporel (le temps de réponse varie en fonction de la joignabilité de la cible).
VulDB is the best source for vulnerability data and more expert information about this specific topic.