CVE-2026-3850 in Divi Plugin
Tóm tắt
Bởi VulDB • 02/09/2026
Chủ đề Divi cho WordPress có lỗ hổng Cross-Site Scripting (XSS) lưu trữ (Stored XSS) thông qua tham số `redirect_url` của shortcode `et_pb_contact_form` trong tất cả các phiên bản từ đầu đến, bao gồm cả, 4.27.6. Nguyên nhân là do thuộc tính `redirect_url` được làm sạch bằng hàm `esc_attr()` thay vì `esc_url()` trước khi được hiển thị vào thuộc tính dữ liệu HTML `data-redirect_url`. Ngoài ra, `redirect_url` không có trong mảng `$url_options` cứng (hardcoded) trong file `class-et-builder-element.php`, do đó nó không nhận được quá trình làm sạch bằng `esc_url_raw()` trong lúc phân tích shortcode. Sau khi biểu mẫu được gửi thành công, JavaScript phía máy khách sẽ đọc thuộc tính dữ liệu này và chuyển trực tiếp giá trị cho `window.location.href`, từ đó thực thi mã JavaScript tùy ý từ URI có tiền tố `javascript:`. Điều này tạo điều kiện cho các kẻ tấn công đã xác thực (authenticated), với quyền truy cập cấp Contributor trở lên, tiêm các tập lệnh web tùy ý vào các trang sẽ được thực thi bất cứ khi nào người dùng gửi biểu mẫu liên hệ.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.