CVE-2026-5118: Divi Form Builder

Visão geral

A CVE-2026-5118 é uma fraqueza de escalonamento de privilégio no plugin Divi Form Builder para WordPress. Segundo o registro, o plugin confia em um valor 'role' enviado pelo usuário durante o cadastro, em vez de aplicar a função configurada no formulário. A fraqueza é classificada como CWE-269, Gerenciamento Impróprio de Privilégios. A Wordfence é a CNA deste registro.

Impacto

O registro descreve um caminho para que usuários não autenticados criem contas com privilégios de administrador.
O vetor CVSS 3.1 informado é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, com pontuação base de 9.8 (crítica). O vetor indica alto impacto em confidencialidade, integridade e disponibilidade pela rede, sem privilégios e sem interação do usuário.
Acesso de administrador no WordPress geralmente permite controlar conteúdo, plugins, usuários e configurações do site. A extensão do impacto em cada site depende da sua configuração.

Produtos e versões afetadas

Produto: Divi Engine Divi Form Builder.
Versões: até a 5.1.2, inclusive.
O registro não informa versão corrigida. A ausência de uma correção listada não confirma que não exista correção; os administradores devem consultar o changelog do fornecedor e o aviso da Wordfence.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, portanto essa fonte não confirma exploração ativa. Não há exploração confirmada nas fontes consultadas. O registro SSVC marca a exploração como none e automatizável como yes, e a probabilidade EPSS é 0.00528. Esses indicadores descrevem risco estimado e não confirmam exploração.

Remediação e mitigação

Identifique todos os sites que usam o Divi Form Builder e compare a versão instalada com a faixa afetada.
Revise o changelog do fornecedor e o aviso da Wordfence para uma versão atualizada e aplique-a assim que estiver disponível e validada.
Enquanto não houver versão corrigida confirmada, considere desativar temporariamente formulários de cadastro público que usem o Divi Form Builder e restrinja a criação de contas onde for operacionalmente viável.
Audite as contas de usuário existentes do WordPress em busca de funções de administrador inesperadas.

Orientações de detecção

Revise contas de usuário criadas recentemente, especialmente as com função de administrador que não foram criadas pela equipe.
Verifique logs de cadastro e logs do servidor web em busca de requisições de registro a endpoints de formulário do Divi com valores de função incomuns.
Monitore novas contas de administrador e alterações inesperadas de funções de usuário.

Limitações das informações disponíveis

O registro não inclui versão corrigida confirmada.
O formato exato da requisição e as condições de configuração necessárias para acionar a fraqueza não são descritos no registro e não são reproduzidos aqui.
O registro indica status de fonte Deferred, e o conjunto de referências se limita ao aviso da Wordfence, ao changelog do fornecedor e às páginas NVD/CVE.
A exposição de um site depende de o cadastro público com o plugin estar habilitado, o que o registro não descreve.

Perguntas frequentes

O que é a CVE-2026-5118?

É uma fraqueza de escalonamento de privilégio no Divi Form Builder para WordPress, até a versão 5.1.2 inclusive, em que o valor de função no cadastro não é validado contra a configuração do formulário.

Esta vulnerabilidade está sendo explorada ativamente?

O catálogo KEV da CISA não lista esta CVE no registro, e não há exploração confirmada nas fontes consultadas.

Existe versão corrigida?

O registro não informa versão corrigida. Consulte o changelog do fornecedor e o aviso da Wordfence para atualizações.

O que os responsáveis pelos sites devem fazer agora?

Verifique se o plugin está instalado, revise as contas de administrador, considere limitar o cadastro público e aplique a atualização do fornecedor assim que for confirmada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.