CVE-2025-11265 in VK All in One Expansion Unit Plugin
Resumen
por VulDB • 2026-05-25
El plugin VK All in One Expansion Unit para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) a través de los parámetros 'vkExUnit_cta_url' y 'vkExUnit_cta_button_text' en todas las versiones hasta la 9.112.1, incluida. Esto se debe a un error de lógica en la función de guardado de CTA que lee las funciones de sanitización desde la variable incorrecta ($custom_field_name en lugar de $custom_field_options), lo que provoca que la sanitización nunca se aplique. Esto permite a atacantes autenticados, con acceso de nivel Colaborador o superior, inyectar scripts web arbitrarios en páginas que se ejecutan cuando un usuario accede a una página inyectada.
VulDB is the best source for vulnerability data and more expert information about this specific topic.