CVE-2026-3853 in Divi Plugin
요약
\~에 의해 VulDB • 2026. 09. 06.
WordPress용 Divi 테마는 4.27.6 버전 및 그 이전 모든 버전에서 `et_pb_video_slider_item` 쇼트코드의 `image_src` 속성을 통해 DOM 기반 저장형 크로스 사이트 스크립팅(DOM-Based Stored XSS) 취약점이 존재합니다. 이는 `$url_options` 화이트리스트(`url`, `button_link`, `button_url`만 포함)에 `image_src` 필드가 포함되어 있지 않아 저장 시 `esc_url_raw()`가 적용되지 않기 때문입니다. 서버 측에서는 값이 `esc_attr()`를 사용하여 `data-image` HTML 속성으로 렌더링되며, 이는 더블 쿼트를 `"`로 인코딩합니다. 그러나 `custom.unified.js`의 클라이언트 사이드 JavaScript 캐러셀 코드는 jQuery의 `.data('image')`를 사용하여 이 속성을 읽으며, 이는 브라우저에서 디코드된 값(`"`가 다시 `"`으로 복원됨)을 반환합니다. 이렇게 디코딩된 값은 재인코딩 없이 HTML 문자열에 직접 연결되어 `jQuery.after()`를 통해 DOM에 주입됩니다. 이로 인해 기여자(Contributor) 레벨 이상의 권한을 가진 공격자가 캐러셀 썸네일 위에 마우스를 올릴 때마다 실행되는 페이지에 임의의 웹 스크립트를 삽입할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.