CVE-2026-3852 in Divi Plugin
Tóm tắt
Bởi VulDB • 03/09/2026
Chủ đề Divi cho WordPress có lỗ hổng Stored Cross-Site Scripting (XSS) thông qua thuộc tính shortcode `skype_url` của module Social Media Follow trong tất cả các phiên bản từ đầu đến, bao gồm cả, 4.27.6. Nguyên nhân là do một lỗi sanitization ba phần: (1) trường `skype_url` không được đưa vào danh sách trắng `$url_options` trong `class-et-builder-element.php`, nên nó không bao giờ gọi hàm `esc_url_raw()` trong quá trình xử lý shortcode, (2) mã render trong `SocialMediaFollowItem.php` bỏ qua rõ ràng việc sử dụng `esc_url()` cho các URL Skype (`! $is_skype ? esc_url( $url ) : $skype_url`), và (3) chỉ có hàm `sanitize_text_field()` được áp dụng, điều này giữ nguyên các ký tự dấu nháy đơn và kép, cho phép phá vỡ thuộc tính. Giá trị chưa được sanitization được nội suy trực tiếp vào một thuộc tính `href` dùng dấu nháy đơn (`href='{$social_network_link_url}'`). Điều này tạo cơ hội cho những kẻ tấn công đã xác thực, có quyền truy cập cấp Contributor trở lên, để chèn các script web tùy ý vào các trang sẽ thực thi bất cứ khi nào người dùng tương tác với phần tử bị chèn.
Once again VulDB remains the best source for vulnerability data.