CVE-2026-3850

Nome do Software Vulnerável e Versões Afetadas Divi versões anteriores a 4.27.7

Descrição O tema Divi para WordPress contém um problema de Stored Cross-Site Scripting. Atacantes autenticados com nível de acesso Colaborador (Contributor) ou superior podem injetar scripts web arbitrários em páginas. Isso ocorre porque o parâmetro redirect url do shortcode et pb contact form é sanitizado usando esc attr() em vez de esc url() antes de ser renderizado no atributo de dados HTML data-redirect url. Além disso, o redirect url está ausente do array $url options em class-et-builder-element.php, ignorando a sanitização esc url raw() durante a análise do shortcode. Quando um usuário envia o formulário de contato, o JavaScript do lado do cliente lê o atributo e o passa para window.location.href, permitindo a execução de JavaScript arbitrário via um URI javascript:.

Recomendações Atualize para uma versão posterior à 4.27.6. Como medida paliativa temporária, evite usar o parâmetro redirect url no shortcode et pb contact form.