CVE-2026-91136

Nome do Software Vulnerável e Versões Afetadas Divi Plus versões anteriores a 2.4.1

Descrição O plugin Divi Plus para WordPress permite que atacantes não autenticados leiam arquivos arbitrários no servidor. Isso ocorre porque a função de callback de permissão SVGAnimatorController::index permission() retorna verdadeiro incondicionalmente, e o parâmetro svg image do endpoint REST '/wp-json/elicus/v1/dipl-modules/svg-animator' não é validado adequadamente. A entrada é processada por sanitize text field() e esc html(), que não restringem caminhos do sistema de arquivos, URLs arbitrárias ou o wrapper de stream file:// antes de serem passados para file get contents() ou wp remote get(). Consequentemente, o corpo da resposta bruta é retornado no campo JSON 'html', podendo levar à execução remota de código.

Recomendações Atualize o plugin para uma versão posterior a 2.4.0. Como medida paliativa temporária, restrinja o acesso ao endpoint REST '/wp-json/elicus/v1/dipl-modules/svg-animator' ou evite o uso do parâmetro svg image.