Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADEXPLOIT PÚBLICO

CVE-2026-91136 Lectura arbitraria de archivos en Divi Plus mediante el parámetro 'svg_image'

El plugin Divi Plus para WordPress es vulnerable a lectura arbitraria de archivos en versiones hasta la 2.4.0 inclusive, mediante el parámetro 'svg_image' del endpoint REST /wp-json/elicus/v1/dipl-modules/svg-animator. El callback de permisos devuelve true incondicionalmente y la validación del parámetro es insuficiente, por lo que atacantes no autenticados pueden leer archivos arbitrarios del servidor, lo que podría posibilitar ejecución remota de código.

Alerta de Nureq Monitor

Detectada 10 OCT · 07:46Última novedad 12 OCT · 11:02

CVSS 3.1

7.5ALTA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

1,8 % PERCENTIL 78

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

Sí 1 REPOSITORIO

Qué es CVE-2026-91136

El plugin Divi Plus para WordPress es vulnerable a lectura arbitraria de archivos en versiones hasta la 2.4.0 inclusive, mediante el parámetro 'svg_image' del endpoint REST /wp-json/elicus/v1/dipl-modules/svg-animator. El callback de permisos devuelve true incondicionalmente y la validación del parámetro es insuficiente, por lo que atacantes no autenticados pueden leer archivos arbitrarios del servidor, lo que podría posibilitar ejecución remota de código.

Productos y versiones afectadas

  • Divi Essential Divi Plus

    • hasta 2.4.0

Qué hacer

  1. Verificá si usás Divi Plus y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
  4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Ninguno
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Alta
INTEGRIDAD (I)
Ninguna
DISPONIBILIDAD (A)
Ninguna

Abrir la calculadora completa

Descripción original

The Divi Plus plugin for WordPress is vulnerable to Arbitrary File Read in versions up to, and including, 2.4.0 via the 'svg_image' parameter of the /wp-json/elicus/v1/dipl-modules/svg-animator REST endpoint. This is due to the endpoint's permission callback (SVGAnimatorController::index_permission) returning true unconditionally combined with insufficient validation of the 'svg_image' input — sanitize_text_field() and esc_html() do not restrict filesystem paths, the file:// stream wrapper, or arbitrary URLs — before it is passed to file_get_contents() (with a wp_remote_get() fallback) and the raw response body is returned in the JSON 'html' field. This makes it possible for unauthenticated attackers to read arbitrary files on the affected site's server which may make remote code execution possible.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.
  2. EXPLOIT PÚBLICO Se publicó el repositorio fl0ydsec/CVE-2026-91136.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.