CVE-2026-3853 in Divi Plugin
要約
〜によって VulDB • 2026年09月05日
WordPress用テーマ「Divi」の4.27.6およびそれ以前の全バージョンにおいて、`et_pb_video_slider_item`ショートコードの`image_src`属性を介してDOMベースの格納型クロスサイトスクリプティング（XSS）脆弱性が存在します。これは、`$url_options`ホワイトリストに`image_src`フィールドが含まれておらず（同ホワイトリストには`url`、`button_link`、`button_url`のみが含まれる）、保存時に`esc_url_raw()`によるエスケープ処理が施されないためです。サーバー側では、値は`esc_attr()`を使用して`data-image` HTML属性にレンダリングされ、二重引用符（"）は`"`としてエンコードされます。しかし、クライアント側のJavaScriptカルーセルコード（`custom.unified.js`内）はjQueryの`.data('image')`を用いてこの属性を読み取り、ブラウザでデコードされた値（`"`が再度「"」に復元される）を返します。その後、そのデコード済みの値は直接HTML文字列に連結され、再エスケープ処理なしで`jQuery.after()`を通じてDOMに挿入されます。これにより、寄稿者レベル以上の権限を持つ認証済み攻撃者は、カルーセルのサムネイル上にマウスカーソルを乗せた際に実行されるページ内に任意のWebスクリプトを注入することが可能になります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.