CVE-2026-4361 in Divi Plugin
Riassunto
di VulDB • 05/09/2026
Il tema Divi per WordPress è vulnerabile a Server-Side Request Forgery in tutte le versioni fino alla 4.27.6, inclusa. Ciò è dovuto alla funzione `et_pb_set_video_oembed_thumbnail_resolution()` che utilizza `wp_remote_get()` anziché `wp_safe_remote_get()` per recuperare un URL di immagine remota, senza limitare le richieste agli intervalli di IP privati o riservati. Questo consente ad attaccanti autenticati con accesso a livello Contributor e superiore di effettuare richieste web verso posizioni arbitrarie originate dal server dell'applicazione web. Il corpo della risposta non viene restituito all'attaccante (SSRF cieca), ma esistono due oracoli: un oracolo dello stato (la stringa URL restituita varia a seconda che il bersaglio risponda con HTTP 200) e un oracolo temporale (il tempo di risposta varia in base alla raggiungibilità del bersaglio).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.