CVE-2025-11265 in VK All in One Expansion Unit Plugin
الملخص
بحسب VulDB • 25/05/2026
يحتوي مكون WordPress الإضافي "VK All in One Expansion Unit" على ثغرة تسمح بتنفيذ نصوص برمجية عبر المواقع (XSS) مخزنة عبر المعلمتين 'vkExUnit_cta_url' و 'vkExUnit_cta_button_text' في جميع الإصدارات حتى 9.112.1 وشاملةً لها. وتعود هذه الثغرة إلى خطأ منطقي في دالة حفظ CTA، حيث يتم قراءة دوال تنظيف المدخلات (sanitization callbacks) من المتغير الخاطئ ($custom_field_name بدلاً من $custom_field_options)، مما يؤدي إلى عدم تطبيق التنظيف أبداً. وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى "Contributor" أو أعلى، حقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عند قيام مستخدم بالوصول إلى الصفحة التي تم حقن النصوص فيها.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.