CVE-2026-4275

Nome do Software Vulnerável e Versões Afetadas Divi Torque Lite – Divi Theme, Divi Builder & Extra Theme versões anteriores a 4.2.4

Descrição O plugin é suscetível a Cross-Site Request Forgery (CSRF), uma falha na qual um invasor engana um usuário autenticado para realizar ações não pretendidas. Isso ocorre porque os endpoints de API REST /install plugin e /activate plugin utilizam return true como o permission callback, o que ignora a verificação de nonce (um token único usado para prevenir CSRF) padrão da API REST do WordPress. Embora existam verificações internas de current user can(), a ausência de verificação de nonce permite que uma requisição forjada a partir do navegador de um administrador passe nessas verificações usando os cookies de sessão do administrador, permitindo que invasores não autenticados instalem plugins arbitrários.

Recomendações Atualize para uma versão posterior à 4.2.3. Restrinja o acesso aos endpoints de API REST /install plugin e /activate plugin como uma medida de mitigação temporária.