> Список всех страниц есть в [llms.txt](https://kupivps.com/llms.txt). Эта страница на сайте: https://kupivps.com/news/nginx-uyazvimost-plagina-divi-form-builder-ugrozhaet-serveram-na-wordpress-cve-2026-5524

# WordPress: уязвимость плагина Divi Form Builder угрожает сайтам на VPS

Плагин Divi Form Builder для WordPress допускает загрузку исполняемых файлов, обходя защиту .htaccess. На серверах Nginx уязвимость критическая — .htaccess там не работает.

_Безопасность · 26 октября 2026 · severity: critical · CVE-2026-5524_

## Что случилось

В плагине Divi Form Builder для WordPress обнаружена критическая уязвимость, позволяющая неаутентифицированным злоумышленникам загружать и выполнять произвольный код на сервере. Проблема затрагивает все версии плагина до 5.1.8 включительно.
Уязвимость находится в функции `do_image_upload()`, где недостаточная валидация расширений файлов позволяет обойти защиту. Атакующий может подменить проверку через параметр `acceptFileTypes` и загрузить файлы с расширениями `.phtml`, `.phar`, `.php5` или `.php7`. Встроенная защита через `.htaccess` блокирует только `.php`, что делает обход тривиальным.
Ключевой нюанс для владельцев VPS: на серверах под управлением Nginx директивы `.htaccess` полностью игнорируются. Это означает, что даже если плагин пытается защитить директорию загрузок, на Nginx такая защита отсутствует. Загруженный вредоносный файл остаётся доступным по прямому HTTP-запросу из директории `/wp-content/uploads/de_fb_uploads/`.

## Кого касается

- Владельцы VPS и выделенных серверов с Nginx, где развёрнут WordPress с плагином Divi Form Builder версии 5.1.8 и ниже
- Серверы с Apache тоже под угрозой, но там защита `.htaccess` хотя бы частично работает
- Любые публичные страницы с формами Divi — через них можно получить nonce для эксплуатации

## Что делать

**Немедленно обновите плагин** до последней доступной версии. Частичный патч выпущен в версии 5.1.3, поэтому убедитесь, что установлена версия выше 5.1.8.
**Проверьте версию плагина:**

- В админ-панели WordPress: раздел «Плагины» → найдите Divi Form Builder
- Через командную строку на сервере: найдите файл плагина и проверьте версию в заголовке
**Обходной путь, если обновление невозможно:**

- Заблокируйте выполнение PHP в директории загрузок через конфигурацию Nginx — добавьте в server-блок: `location /wp-content/uploads/de_fb_uploads/ { location ~ \.php { deny all; } }`
- Или полностью запретите доступ к этой директории: `location /wp-content/uploads/de_fb_uploads/ { deny all; }`
- Проверьте директорию загрузок на наличие подозрительных файлов: `find /путь/к/сайту/wp-content/uploads/de_fb_uploads/ -name '*.php*' -o -name '*.phtml' -o -name '*.phar'`
**Проверьте журналы доступа** на наличие POST-запросов к `do_image_upload` с последующими GET-запросами к загруженным файлам.

Источник: https://nvd.nist.gov/vuln/detail/CVE-2026-5524