Divi wordt niet verspreid via wordpress.org, en de codebase wordt gedeeld door drie producten: het thema Divi, het thema Extra en de plugin Divi Builder. Patchstack schrijft er 14 kwetsbaarheden aan toe die van januari 2020 tot eind september 2026 zijn gepubliceerd, waarvan er twee het mogelijk maakten PHP-code uit te voeren vanaf een gewoon bijdragersaccount. Hier lees je wat er is gepatcht, wanneer, en wat de licentie verandert aan je updates.
Divi in het kort
Divi is een commercieel thema met een ingebouwde visuele paginabouwer, uitgegeven door het bedrijf Elegant Themes. Het wordt verkocht op de website van de uitgever, die bijna 975.000 klanten vermeldt (een cijfer van Elegant Themes zelf, zonder onafhankelijke bron). Dezelfde paginabouwer wordt in drie vormen geleverd:
- Divi, het hoofdthema;
- Extra, een op magazines gericht thema dat op dezelfde engine is gebouwd;
- Divi Builder, een plugin die de paginabouwer naar elk ander thema brengt.
Direct gevolg: een kwetsbaarheid in de paginabouwer treft vaak de drie producten tegelijk, en een site die Divi Builder met een ander thema gebruikt, is net zo goed getroffen als een site met Divi. Elegant Themes had de officiële release van Divi 5 gepland op 26 februari 2026, met de belofte Divi 4 nog minstens zes maanden te onderhouden met kritieke beveiligings- en compatibiliteitspatches. Sindsdien bestaan er twee takken naast elkaar: Divi 4 (4.27.x) en Divi 5 (5.x), elk met eigen kwetsbaarheden.
Essentieel bij een commercieel thema: de updates komen niet via wordpress.org. Divi wordt bijgewerkt via het systeem van de uitgever, nadat je je gebruikersnaam en je API-sleutel van Elegant Themes hebt ingevoerd in Divi, Thema-opties, tabblad Updates. Volgens de documentatie van Elegant Themes hebben alleen leden met een actief account toegang tot de nieuwste versies, en blokkeert een gedeactiveerde sleutel de updates. Een verlopen abonnement betekent dus: geen beveiligingspatches meer. "Nulled" kopieën die buiten de officiële website worden verkocht of gedeeld, hebben hetzelfde probleem in erger, zoals we uitleggen in ons artikel over nulled thema's en plugins.
Tijdlijn van de kwetsbaarheden in Divi van 2020 tot september 2026
De tabel bevat de 14 kwetsbaarheden die Patchstack tussen 1 januari 2020 en 29 september 2026 aan het thema Divi toeschrijft. De datum is die van de eerste publicatie (Wordfence, Patchstack of WPScan); de CVSS-score is die van de instantie die de CVE toekende (CNA), anders die van de NVD of van de vermelde database. Geen enkele erkende bron documenteert misbruik van deze kwetsbaarheden in de praktijk.
| Publicatie | Getroffen producten | Gepatcht in | Type | CVSS | CVE | Account vereist |
|---|---|---|---|---|---|---|
| 4 januari 2020 | Divi, Extra, Divi Builder | 4.0.10 (getroffen: Divi 3.23 of Extra/Builder 2.23 tot 4.0.9) | Injectie van PHP-code | 8,8 (Patchstack) | geen | Bijdrager |
| 3 augustus 2020 | Divi, Extra, Divi Builder | 4.5.3 (getroffen: Divi 3.0 of Extra/Builder 2.0 tot 4.5.2) | Upload van PHP-bestanden (Portability), code-uitvoering | 8,8 (NVD) | CVE-2020-35945 | Bijdrager |
| 9 mei 2023 | Divi | 4.20.3 | Stored XSS | 6,5 | CVE-2023-29099 | Bijdrager |
| 22 december 2023 | Divi | 4.23.2 | Stored XSS (module Tekst) | 6,4 | CVE-2023-6744 | Bijdrager |
| 9 mei 2024 | Divi, Extra, Divi Builder | 4.25.1 | DOM-gebaseerde stored XSS | 6,4 | CVE-2024-4490 | Bijdrager |
| 17 juni 2024 | Divi | 4.25.2 | Stored XSS | 6,4 | CVE-2024-5533 | Schrijver |
| 2 juli 2025 | Divi, Extra, Divi Builder | 4.27.2 | XSS via de bibliotheek Magnific Popup | 6,4 | CVE-2024-5647 | Bijdrager |
| 14 augustus 2026 | Divi 5 | 5.9.0 (getroffen: 5.0 tot 5.8.1) | Stored XSS (module Sociale media) | 6,8 (WPScan) | CVE-2026-13712 | Bijdrager |
| 1 september 2026 | Divi 4 | 4.27.7 | Stored XSS (doorverwijzing van het contactformulier) | 6,4 | CVE-2026-3850 | Bijdrager |
| 1 september 2026 | Divi 4 | 4.27.7 | Stored XSS (dynamische inhoud, oud JSON-formaat) | 6,4 | CVE-2026-3851 | Bijdrager |
| 2 september 2026 | Divi 4 | 4.27.7 | Stored XSS (Skype-link van de module Sociale media) | 6,4 | CVE-2026-3852 | Bijdrager |
| 4 september 2026 | Divi 4 | 4.27.7 | DOM-gebaseerde XSS (videoslider) | 6,4 | CVE-2026-3853 | Bijdrager |
| 4 september 2026 | Divi 4 | 4.27.7 | Server-side request forgery (blinde SSRF) | 5,0 | CVE-2026-4361 | Bijdrager |
| 17 september 2026 | Divi 5 | 5.12.0 (getroffen: 5.0 tot 5.11.1) | Ontbrekende autorisatie, uitvoeren van shortcodes | 5,3 | CVE-2026-91707 | Geen |
Voor CVE-2020-35945 hanteert de NVD 8,8 en MITRE 9,9; WPScan geeft haar 5,4. Voor CVE-2024-5533 vermeldt de officiële beschrijving dat de rol Schrijver nodig is. De getroffen versies van CVE-2026-3850 worden in de CVE-vermelding aangegeven als "tot en met 4.27.5" en in de titel als "tot en met 4.27.6"; de patch is in alle gevallen 4.27.7.
De opvallende kwetsbaarheden uitgelegd
Januari 2020: een code-injectie gevonden door de uitgever
Begin januari 2020 maakte Elegant Themes zelf een kwetsbaarheid voor code-injectie bekend, ontdekt "tijdens een routineaudit" door het eigen team. Een ingelogde bijdrager, schrijver of redacteur kon er een kleine reeks PHP-functies mee op de server uitvoeren. De getroffen versies begonnen bij Divi 3.23, Extra 2.23 en Divi Builder 2.23; versie 4.0.10 van de drie producten patchte haar. Er werd geen CVE-ID toegekend. Een gestolen wachtwoord van een redacteur volstond om haar uit te buiten.
Augustus 2020: een PHP-bestand binnengesmokkeld via de templateimport
De ernstigste kwetsbaarheid in de geschiedenis van Divi trof het Portability-systeem, waarmee je paginatemplates importeert en exporteert. De controle van de bestandsextensie gebeurde alleen in de browser, in JavaScript: wie die omzeilde, kon een PHP-bestand naar de server sturen en het daarna aanroepen om code uit te voeren en de site over te nemen (CVE-2020-35945). Er was minstens een bijdragersaccount nodig. Chloe Chamberland van Wordfence ontdekte haar op 23 juli 2020; Elegant Themes bracht versie 4.5.3 van Divi, Extra en Divi Builder uit op 3 augustus 2020, de dag van publicatie van de kwetsbaarheid. Wordfence schatte het aantal getroffen sites toen op meer dan 700.000. Hostingprovider Oderland blokkeerde van zijn kant de uitvoering van code in de uploadmap van de Divi-sites die het host, een bescherming die het aanraadde ook na de update te behouden.
2023 tot 2025: de reeks XSS door bijdragers
Na 2020 zijn alle gepubliceerde kwetsbaarheden van gemiddelde ernst en zijn het bijna allemaal stored XSS: een bijdrager plaatst JavaScript in een module-instelling (tekst, titel, aangepast veld), en die code wordt uitgevoerd bij elke bezoeker van de pagina, ook bij een ingelogde beheerder. Rafie Muhammad (Patchstack) meldde er een in 2023, Francesco Carlucci een andere via de module Tekst, gepatcht in 4.23.2 en tien dagen na de melding aan de uitgever openbaar gemaakt. Die van mei 2024 (CVE-2024-4490) trof de drie producten tegelijk. In juli 2025 publiceerde Wordfence een gezamenlijke kwetsbaarheid voor een vijftiental plugins en thema's die de JavaScript-bibliotheek Magnific Popup 1.1.0 meebrachten; voor Divi, Extra en Divi Builder had versie 4.27.2 van 1 oktober 2024 haar al gepatcht. Ons artikel over XSS-kwetsbaarheden in WordPress legt dit mechanisme uit.
September 2026: vijf kwetsbaarheden in Divi 4, gepatcht in mei
Van 1 tot 4 september 2026 publiceerde Wordfence vijf kwetsbaarheden in Divi 4, allemaal gemeld door dezelfde onderzoeker, Osvaldo Noe Gonzalez Del Rio. Vier zijn stored XSS die voor een bijdrager toegankelijk zijn: een doorverwijsadres van het contactformulier dat een javascript:-URL accepteerde, het oude JSON-formaat van de dynamische inhoud dat aan het opslagfilter ontsnapte, de Skype-link van de module Sociale media en de afbeelding van een videoslider.
De vijfde is een blinde SSRF: de functie die de miniatuur van een video ophaalt, gebruikte wp_remote_get() in plaats van wp_safe_remote_get(), waardoor je de server adressen in het interne netwerk kon laten bevragen. Elegant Themes werd op 10 maart 2026 gewaarschuwd (op 17 maart voor de SSRF) en bracht op 12 mei 2026 versie 4.27.7 uit, die ze allemaal patcht. De details werden pas vier maanden later openbaar: een site die de zomer lang op 4.27.6 bleef, was blootgesteld zonder dat er iets was aangekondigd.
Divi 5: shortcodes uitgevoerd zonder account
De tak Divi 5 had eigen kwetsbaarheden. De eerste, op 14 augustus 2026 gepubliceerd door WPScan (CVE-2026-13712), is een XSS in de module Sociale media, gepatcht in 5.9.0 op 9 juli. De tweede, op 17 september 2026 gepubliceerd door Wordfence (CVE-2026-91707), is de enige in de geschiedenis waarvoor geen account nodig is: een endpoint van de REST API dat bij de module Shortcode hoort, voerde de ontvangen inhoud uit met do_shortcode zonder de rechten van de bezoeker te controleren.
Iedereen kon dus de op de site geregistreerde shortcodes starten. Als de optie "Force Enable D4 Shortcode Framework" was ingeschakeld, kon een aanvaller zelfs het contactformulier van Divi gebruiken om e-mails te versturen met een ontvanger en inhoud naar keuze. De score blijft gemiddeld (5,3). De versies tot en met 5.11.1 zijn getroffen, 5.12.0 patcht. Ons artikel over de beveiliging van de REST API legt uit waarom deze endpoints een veelvoorkomend doelwit zijn.
Wat deze geschiedenis laat zien
- Gedeelde code, gedeelde kwetsbaarheden: de twee hoge kwetsbaarheden van 2020, die van mei 2024 en die van Magnific Popup troffen Divi, Extra en Divi Builder tegelijk. Gebruik je de plugin Divi Builder met een ander thema, houd haar dan net zo goed in de gaten als het thema.
- De bijdrager als belangrijkste toegangspunt: 13 van de 14 kwetsbaarheden vereisen een account, bijna altijd van een bijdrager. Het risico hangt af van wie kan inloggen, net als bij Elementor, de andere grote paginabouwer.
- Patches vaak vóór de aankondiging: in 2020 op dezelfde dag, in 2025 en 2026 enkele maanden eerder. Dat is geruststellend als je regelmatig bijwerkt, en zorgwekkend als je licentie verlopen is: je ziet dan noch de kwetsbaarheid, noch de patch.
- Twee takken om te volgen: sinds 2026 krijgen Divi 4 en Divi 5 elk hun eigen patches. Controleer de minimale versie van de tak die je gebruikt.
Divi is geen alleenstaand geval: Avada, het andere grote commerciële thema, heeft een uitgebreidere geschiedenis, en zelfs de WordPress-core brengt regelmatig patches uit, zoals onze tijdlijn van de WordPress-beveiligingsversies laat zien.
Jezelf beschermen
- Werk bij: minstens Divi 4.27.7 op tak 4 (4.27.9 verscheen op 18 september 2026) en Divi 5.12.0 op tak 5. Dezelfde regel geldt voor Extra en Divi Builder.
- Houd de licentie actief en gekoppeld: controleer in Divi, Thema-opties, tabblad Updates, of de gebruikersnaam en de API-sleutel geldig zijn, anders biedt WordPress je geen enkele update aan.
- Weer nulled kopieën: ze krijgen geen patches en bevatten vaak toegevoegde code (zie de risico's van nulled versies).
- Schakel automatische updates in als je configuratie dat toelaat; onze gids over automatische updates legt uit hoe je ze in goede banen leidt.
- Beperk het aantal accounts: geef de rol Bijdrager spaarzaam, verwijder inactieve accounts en eis sterke wachtwoorden (zie rollen en minimale rechten).
- Verwijder wat je niet meer gebruikt: een gedeactiveerd maar aanwezig thema Extra of plugin Divi Builder blijft code die onderhoud vraagt (zie verlaten plugins en thema's). Verhinder ook de uitvoering van PHP in
/wp-content/uploads/. - Voeg een applicatiefirewall toe om de periode tussen een aankondiging en jouw update te overbruggen (onze vergelijking van WordPress-firewalls), en volg de aankondigingen over je thema's (onze methode).
WP Masquerade Pro helpt je geen aankondiging te missen, ook niet voor een commercieel thema zoals Divi dat wordpress.org niet volgt. Het vergelijkt elke dag de geïnstalleerde versies met de openbare database WPVulnerability.net en stuurt een kwetsbaarheidsmelding per e-mail met de ernst en de gepatchte versie; de klantenzone toont de openstaande updates en de kwetsbare sites. WP Masquerade waarschuwt: het werkt Divi niet voor je bij, verlengt je licentie niet en is geen firewall. Voor een firewall raadpleeg je onze vergelijking van de beste WordPress-beveiligingsplugins.
Lees ook: De beste WordPress-paginabouwers vergeleken: Gutenberg, Elementor, Divi, Bricks en meer.
Om te onthouden
- Patchstack telt 14 kwetsbaarheden in het thema Divi van 1 januari 2020 tot 29 september 2026: 2 hoge in 2020, daarna 12 gemiddelde.
- Divi, Extra en Divi Builder delen de paginabouwer: meerdere kwetsbaarheden troffen alle drie.
- De ernstigste (2020) lieten een bijdrager code uitvoeren; de enige kwetsbaarheid zonder account (Divi 5, september 2026) voerde shortcodes uit.
- Minimale versies: Divi 4.27.7 of Divi 5.12.0, met een actieve licentie om de patches te ontvangen.
Bronnen
- Elegant Themes: How To Update The Divi Theme (documentatie) (externe link, opent in een nieuw tabblad)
- Elegant Themes: Divi 5 Official Release Date (14 januari 2026) (externe link, opent in een nieuw tabblad)
- NVD: CVE-2020-35945 (1 januari 2021) (externe link, opent in een nieuw tabblad)
- CVE: CVE-2024-4490, Divi, Extra en Divi Builder 4.25.0 en eerder (10 mei 2024) (externe link, opent in een nieuw tabblad)
Andere geraadpleegde bronnen: andere CVE-registraties, officiële pagina's van de leveranciers, publicaties van beveiligingsonderzoekers, artikelen uit de vakpers, databases van WPScan en Patchstack.
