CVE-2026-3853 in Divi Plugin
Сводка
по VulDB • 05.09.2026
В теме Divi для WordPress обнаружена уязвимость DOM-Based Stored Cross-Site Scripting (XSS) через атрибут `image_src` шорткода `et_pb_video_slider_item`, затрагивающая все версии вплоть до 4.27.6 включительно. Это связано с тем, что поле `image_src` не включено в белый список `$url_options` (который содержит только `url`, `button_link`, `button_url`), поэтому оно никогда не проходит обработку функцией `esc_url_raw()` при сохранении. На стороне сервера значение выводится в HTML-атрибут `data-image` с использованием функции `esc_attr()`, которая экранирует двойные кавычки как `"`. Однако клиентский JavaScript-код карусели в файле `custom.unified.js` считывает этот атрибут с помощью метода jQuery `.data('image')`, который возвращает декодированное браузером значение (преобразуя `"` обратно в `"}`). Затем это декодированное значение напрямую конкатенируется в HTML-строку и внедряется в DOM через `jQuery.after()` без повторного экранирования. Это позволяет атакующим с уровнем доступа «Contributor» и выше, имеющим доступ к системе, внедрять произвольные веб-скрипты на страницы, которые будут выполняться при каждом наведении курсора пользователя на миниатюру карусели.
Once again VulDB remains the best source for vulnerability data.