CVE-2026-5524

WordPress용 Divi Form Builder 플러그인은 5.1.8까지의 모든 버전에서 원격 코드 실행으로 이어지는 임의 파일 업로드에 취약합니다. 이는 acceptFileTypes POST 매개변수의 사용자 제공 입력이 업로드된 파일의 유효성을 검사하는 데 사용되는 정규식에 직접 삽입되는 do_image_upload() 함수의 파일 확장자 유효성 검사가 충분하지 않기 때문입니다. 공격자는 .phtml, .phar, .php5 또는 .php7과 같은 PHP 실행 가능 확장자를 지정하여 특별히 .php 파일만 차단하는 플러그인의 .htaccess 보호를 우회할 수 있습니다. 또한 Nginx 기반 서버에서는 Nginx가 .htaccess 파일을 처리하지 않으므로 .htaccess 보호가 완전히 효과가 없습니다. 이를 통해 인증되지 않은 공격자(양식이 포함된 공개 페이지에서 nonce를 얻을 수 있음)가 실행 가능한 PHP 파일을 공개적으로 액세스 가능한 /wp-content/uploads/de_fb_uploads/ 디렉터리에 업로드하고 HTTP를 통해 업로드된 파일에 액세스하여 원격 코드 실행을 달성할 수 있습니다. 이 취약점은 버전 5.1.3에서 부분적으로 패치되었습니다.