CVE-2026-91136
Divi Plus <= 2.4.0 — неаутентифицированное произвольное чтение файлов через параметр 'svg_image'
- Опубликовано
- 10 окт. 2026 г.
- Обновлено
- 11 окт. 2026 г.
- Назначение CNA
- Wordfence
- Наблюдены доказательства
- 4 нояб. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NНизкий · следующие 30 дней
- Процентиль
- 86,8 %
- Дата модели
- 4 нояб. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Плагин Divi Plus для WordPress уязвим к произвольному чтению файлов в версиях до 2.4.0 включительно через параметр 'svg_image' REST-эндпоинта /wp-json/elicus/v1/dipl-modules/svg-animator. Это обусловлено тем, что колбэк разрешений эндпоинта (SVGAnimatorController::index_permission) безусловно возвращает true в сочетании с недостаточной проверкой входного параметра 'svg_image' — sanitize_text_field() и esc_html() не ограничивают пути файловой системы, обёртку потока file:// или произвольные URL — прежде чем он передаётся в file_get_contents() (с запасным вариантом через wp_remote_get()), а необработанное тело ответа возвращается в JSON-поле 'html'. Это позволяет неаутентифицированным злоумышленникам читать произвольные файлы на сервере уязвимого сайта, что может сделать возможным удалённое выполнение кода.
Источники
http/cves/2026/CVE-2026-91136.yaml
Nuclei TemplatesЗаявленные условия
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
- CVE-2026-91136Эксплойт
Массовый сканер и PoC-эксплойт для CVE-2026-91136 — неаутентифицированного произвольного чтения файлов в плагине Divi Plus для WordPress через REST-параметр svg_image.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.