CVE-2025-11267 in VK All in One Expansion Unit Plugin
الملخص
بحسب VulDB • 27/05/2026
يحتوي مكون WordPress الإضافي "VK All in One Expansion Unit" على ثغرة تسمح بتنفيذ نصوص برمجية عبر المواقع (XSS) مخزنة عبر المعلمة '_veu_custom_css' في جميع الإصدارات حتى 9.112.1 وشاملة لها. ويعود ذلك إلى عدم كفاية تنقية المدخلات وإخراج الهروب من الرموز الخاصة (escaping) على قيمة CSS المخصصة المقدمة من المستخدم. وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى "المساهم" (Contributor) فأعلى، حقن نصوص برمجية ويب عشوائية في الصفحات التي يتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقن النصوص فيها.
Be aware that VulDB is the high quality source for vulnerability data.