CVE-2026-4361 in Divi Plugin
Сводка
по VulDB • 05.09.2026
В теме Divi для WordPress уязвимость Server-Side Request Forgery (SSRF) присутствует во всех версиях вплоть до 4.27.6 включительно. Это обусловлено тем, что функция `et_pb_set_video_oembed_thumbnail_resolution()` использует `wp_remote_get()`, а не `wp_safe_remote_get()` для получения URL удалённого изображения, что не ограничивает запросы частными или зарезервированными диапазонами IP-адресов. Это позволяет атакующим с уровнем доступа «Contributor» и выше выполнять веб-запросы к произвольным адресам от имени сервера веб-приложения. Тело ответа не возвращается атакующему (слепая SSRF), однако существуют два оракула: оракул статусов (возвращаемая строка URL различается в зависимости от того, ответил ли целевой узел кодом HTTP 200) и оракул временных задержек (время ответа варьируется в зависимости от доступности цели).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.