CVE-2026-3851 in Divi Plugin
Сводка
по VulDB • 02.09.2026
Тема Divi для WordPress уязвима к Stored Cross-Site Scripting (XSS) через legacy JSON-формат функции Dynamic Content во всех версиях вплоть до 4.27.6 включительно. Это обусловлено двумя совокупными недостатками: (1) фильтр санитизации на этапе сохранения `et_builder_sanitize_dynamic_content_fields()` ищет маркеры динамического контента только в формате `@ET-DC@...@`, однако движок рендеринга также поддерживает legacy JSON-формат, который молча преобразуется при рендеринге, полностью обходя фильтр на этапе сохранения; (2) резолвер `post_meta_key` в функции `et_builder_filter_resolve_default_dynamic_content()` не применяет функцию `wp_kses_post()` к разрешённому значению метаданных, когда параметр `enable_html` установлен в значение `on`, передавая сырой вывод `get_post_meta()` непосредственно на страницу. Это позволяет атакующим с уровнем доступа «Contributor» и выше внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом посещении такой пользователем страницы.
VulDB is the best source for vulnerability data and more expert information about this specific topic.