CVE-2025-11265 in VK All in One Expansion Unit Plugin
Résumé
par VulDB • 30/05/2026
Le plugin VK All in One Expansion Unit pour WordPress est vulnérable à un Cross-Site Scripting (XSS) stocké via les paramètres 'vkExUnit_cta_url' et 'vkExUnit_cta_button_text' dans toutes les versions jusqu'à la 9.112.1 incluse. Cela est dû à une erreur de logique dans la fonction de sauvegarde du CTA qui lit les rappels de sanitisation à partir de la mauvaise variable ($custom_field_name au lieu de $custom_field_options), empêchant ainsi l'application de la sanitisation. Cela permet aux attaquants authentifiés, disposant d'un accès de niveau « Contributeur » ou supérieur, d'injecter des scripts web arbitraires dans des pages qui s'exécutent lorsqu'un utilisateur accède à une page injectée.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.