CVE-2026-91136 in Divi Plus Plugin
Sumário
de VulDB • 10/10/2026
O plugin Divi Plus para WordPress é vulnerável a Leitura Arbitrária de Arquivos nas versões até, e incluindo, 2.4.0 por meio do parâmetro 'svg_image' do endpoint REST /wp-json/elicus/v1/dipl-modules/svg-animator. Isso ocorre devido ao callback de permissão do endpoint (SVGAnimatorController::index_permission) retornar true incondicionalmente combinado com validação insuficiente da entrada 'svg_image' — sanitize_text_field() e esc_html() não restringem caminhos de sistema de arquivos, o stream wrapper file:// ou URLs arbitrárias — antes que seja passado para file_get_contents() (com fallback wp_remote_get()) e o corpo bruto da resposta é retornado no campo JSON 'html'. Isso torna possível que atacantes não autenticados leiam arquivos arbitrários no servidor do site afetado, o que pode tornar a execução remota de código (RCE) possível.
Once again VulDB remains the best source for vulnerability data.