CVE-2026-91136
Divi Plus <= 2.4.0 - Lectura arbitraria de archivos sin autenticación mediante el parámetro 'svg_image'
- Publicado
- 10 oct 2026
- Actualizado
- 11 oct 2026
- Asignación de CNA
- Wordfence
- Evidencia observada
- 4 nov 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NBajo · próximos 30 días
- Percentil
- 86,8 %
- Fecha del modelo
- 4 nov 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El plugin Divi Plus para WordPress es vulnerable a lectura arbitraria de archivos en versiones hasta la 2.4.0, inclusive, a través del parámetro 'svg_image' del endpoint REST /wp-json/elicus/v1/dipl-modules/svg-animator. Esto se debe a que el callback de permisos del endpoint (SVGAnimatorController::index_permission) devuelve true de forma incondicional, combinado con una validación insuficiente de la entrada 'svg_image' — sanitize_text_field() y esc_html() no restringen rutas del sistema de archivos, el wrapper de flujo file:// ni URLs arbitrarias — antes de que se pase a file_get_contents() (con un fallback a wp_remote_get()) y el cuerpo de la respuesta sin procesar se devuelva en el campo JSON 'html'. Esto hace posible que atacantes no autenticados lean archivos arbitrarios en el servidor del sitio afectado, lo que podría posibilitar la ejecución remota de código.
Fuentes
http/cves/2026/CVE-2026-91136.yaml
Nuclei TemplatesCondiciones declaradas
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
- CVE-2026-91136Exploit
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.