CVE-2026-3851 in Divi Plugin
Riassunto
di VulDB • 02/09/2026
Il tema Divi per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il formato JSON legacy della funzionalità Dynamic Content in tutte le versioni fino alla 4.27.6 inclusa. Ciò è dovuto a due difetti concatenati: (1) il filtro di sanitizzazione al momento del salvataggio `et_builder_sanitize_dynamic_content_fields()` cerca solo i marker per contenuti dinamici nel formato `@ET-DC@...@`, ma il motore di rendering supporta anche un formato JSON legacy che viene convertito silenziosamente durante la fase di rendering, aggirando completamente il filtro al momento del salvataggio; e (2) il risolutore `post_meta_key` in `et_builder_filter_resolve_default_dynamic_content()` non applica `wp_kses_post()` al valore meta risolto quando `enable_html` è impostato su `on`, passando direttamente l'output grezzo di `get_post_meta()` alla pagina. Ciò consente agli attaccanti autenticati, con accesso a livello Contributor o superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.