CVE-2026-3852 in Divi Plugin
摘要
由 VulDB • 2026-09-04
WordPress 的 Divi 主题在 4.27.6 及以下所有版本中，由于 Social Media Follow 模块的 `skype_url` shortcode 属性存在存储型跨站脚本攻击（Stored Cross-Site Scripting, XSS）漏洞。该问题源于三重清理失败：(1) `$url_options` 白名单在 `class-et-builder-element.php` 中未包含 `skype_url` 字段，因此在处理 shortcode 时从未调用 `esc_url_raw()`；(2) `SocialMediaFollowItem.php` 中的渲染代码明确跳过了对 Skype URL 的 `esc_url()` 清理（即执行逻辑为 `! $is_skype ? esc_url( $url ) : $skype_url`）；(3) 仅应用了 `sanitize_text_field()`，该函数保留了单引号和双引号字符，从而导致属性逃逸。未经验证的值被直接插值到单引号的 `href` 属性中（即 `href='{$social_network_link_url}'`）。这使得拥有 Contributor 级别及以上权限的攻击者能够在页面中注入任意 Web 脚本，当用户与注入的元素交互时，这些脚本将执行。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.