CVE-2026-5118criticalCWE-269

CVE-2026-5118: fallo crítico en Divi Form Builder

Divi Form Builder <= 5.1.2 - Unauthenticated Privilege Escalation via 'role'

Publicada el

Seguir esta CVE+ Monitorear Divi Form Builder

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

48Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 9.8epss 0.5%
de la publicación al armael mismo día
Publicada en NVD21 may
1ª PoC21 may
The Divi Form Builder plugin for WordPress is vulnerable to privilege escalation in versions up to, and including, 5.1.2. This is due to the plugin accepting a user-controlled 'role' parameter from POST data during user registration without validating it against the form's configured default_user_role setting. This makes it possible for unauthenticated attackers to create administrator accounts by tampering with the role parameter during registration.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Divi Engine · Divi Form Builder
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Divi Form Builder

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-5524CRITICALDivi Form Builder <= 5.1.8 - Unauthenticated Arbitrary File Upload Leading to Remote Code Execution via 'acceptFileTypes' ParameterEPSS 3.5%CVE-2026-5523HIGHDivi Form Builder <= 5.1.8 - Authenticated (Subscriber+) Missing Authorization to Privilege Escalation via User Profile Update FormEPSS 0.4%