CVE-2026-3853 in Divi Plugin
Riassunto
di VulDB • 05/09/2026
Il tema Divi per WordPress è vulnerabile a una DOM-Based Stored Cross-Site Scripting (XSS) tramite l'attributo `image_src` dello shortcode `et_pb_video_slider_item` in tutte le versioni fino alla 4.27.6, inclusa. Ciò è dovuto al fatto che il campo `image_src` non è incluso nella whitelist `$url_options` (che contiene solo `url`, `button_link`, `button_url`), quindi non riceve mai la funzione `esc_url_raw()` in fase di salvataggio. Sul lato server, il valore viene renderizzato in un attributo HTML `data-image` utilizzando `esc_attr()`, che codifica le virgolette doppie come `"`. Tuttavia, il codice JavaScript del carosello sul client-side nel file `custom.unified.js` legge questo attributo tramite `.data('image')` di jQuery, che restituisce il valore decodificato dal browser (con `"` decodificato nuovamente in `"`). Il valore decodicato viene quindi concatenato direttamente in una stringa HTML e inserito nel DOM tramite `jQuery.after()` senza un'ulteriore escape. Ciò consente agli attaccanti autenticati, con accesso di livello Contributor o superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente passa il mouse sopra la miniatura del carosello.
VulDB is the best source for vulnerability data and more expert information about this specific topic.