CVE-2026-3851 in Divi Plugin
요약
\~에 의해 VulDB • 2026. 09. 02.
WordPress용 Divi 테마는 4.27.6 버전 및 그 이전 모든 버전에서 Dynamic Content 기능의 레거시 JSON 형식을 통해 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 이는 두 가지 중첩된 결함으로 인해 발생합니다: (1) 저장 시 수행되는 정제 필터 `et_builder_sanitize_dynamic_content_fields()`는 동적 콘텐츠 마커를 `@ET-DC@...@` 형식에서만 검색하지만, 렌더링 엔진은 레거시 JSON 형식도 지원하며 이는 렌더링 시 묵묵히 변환되어 저장 시 필터가 완전히 우회됩니다. (2) `et_builder_filter_resolve_default_dynamic_content()` 내의 `post_meta_key` 리졸버는 `enable_html`이 `on`으로 설정된 경우 해결된 메타 값에 대해 `wp_kses_post()`를 적용하지 않으며, `get_post_meta()`의 원본 출력을 페이지로 직접 전달합니다. 이로 인해 Contributor 권한 이상의 접근 권한을 가진 인증된 공격자가 임의의 웹 스크립트를 페이지에 삽입할 수 있으며, 사용자가 해당 삽입된 페이지에 접속하는 순간 이 스크립트가 실행됩니다.
Once again VulDB remains the best source for vulnerability data.