« Volver al listado

CVE-2026-91136

Estado: RecibidaAlta (7.5)—

El complemento Divi Plus para WordPress es vulnerable a Lectura Arbitraria de Archivos en versiones hasta la 2.4.0 inclusive a través del parámetro 'svg_image' del endpoint REST /wp-json/elicus/v1/dipl-modules/svg-animator. Esto se debe a que la devolución de llamada de permisos del endpoint (SVGAnimatorController::index_permission) retorna true incondicionalmente combinado con validación insuficiente de la entrada 'svg_image' — sanitize_text_field() y esc_html() no restringen rutas del sistema de archivos, el contenedor de flujo file:// ni URLs arbitrarias — antes de que sea pasada a file_get_contents() (con una alternativa de wp_remote_get()) y el cuerpo de respuesta sin procesar es retornado en el campo JSON 'html'. Esto hace posible que atacantes no autenticados lean archivos arbitrarios en el servidor del sitio afectado, lo que puede posibilitar la ejecución remota de código.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector AV:N/AC:L/PR:N sin interacción permite explotación remota sin autenticación (T1190). CWE-22 + file_get_contents() sin validar rutas permite lectura arbitraria de archivos (T1005), incluyendo potenciales credenciales sensibles (T1552).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementLimit Access to Resource Over NetworkFilter Network TrafficUpdate SoftwareActive Directory ConfigurationVulnerability Scanning

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Elicus — Divi PlusAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-91136",
  "cveTags": [],
  "metrics": {
    "cvssMetricV31": [
      {
        "type": "Primary",
        "source": "security@wordfence.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 7.5,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security@wordfence.com",
      "affectedData": [
        {
          "vendor": "Divi Essential",
          "product": "Divi Plus",
          "versions": [
            {
              "status": "affected",
              "version": "0",
              "versionType": "semver",
              "lessThanOrEqual": "2.4.0"
            }
          ],
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-10T09:16:39.360",
  "references": [
    {
      "url": "https://diviplus.io/changelog/",
      "source": "security@wordfence.com"
    },
    {
      "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/2c0bbdf6-afaf-4194-ada2-24d142892c32?source=cve",
      "source": "security@wordfence.com"
    }
  ],
  "vulnStatus": "Received",
  "weaknesses": [
    {
      "type": "Primary",
      "source": "security@wordfence.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-22"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "The Divi Plus plugin for WordPress is vulnerable to Arbitrary File Read in versions up to, and including, 2.4.0 via the 'svg_image' parameter of the /wp-json/elicus/v1/dipl-modules/svg-animator REST endpoint. This is due to the endpoint's permission callback (SVGAnimatorController::index_permission) returning true unconditionally combined with insufficient validation of the 'svg_image' input — sanitize_text_field() and esc_html() do not restrict filesystem paths, the file:// stream wrapper, or arbitrary URLs — before it is passed to file_get_contents() (with a wp_remote_get() fallback) and the raw response body is returned in the JSON 'html' field. This makes it possible for unauthenticated attackers to read arbitrary files on the affected site's server which may make remote code execution possible."
    }
  ],
  "lastModified": "2026-10-10T09:16:39.360",
  "sourceIdentifier": "security@wordfence.com"
}