CVE-2025-11267 in VK All in One Expansion Unit Plugin
Résumé
par VulDB • 27/05/2026
Le plugin VK All in One Expansion Unit pour WordPress est vulnérable à un Cross-Site Scripting (XSS) stocké via le paramètre '_veu_custom_css' dans toutes les versions jusqu'à la 9.112.1 incluse. Cela est dû à une désinfection insuffisante des entrées et à une échappement incorrect des sorties pour la valeur CSS personnalisée fournie par l'utilisateur. Cela permet aux attaquants authentifiés disposant d'un accès de niveau « Contributeur » ou supérieur d'injecter des scripts web arbitraires dans des pages qui s'exécutent chaque fois qu'un utilisateur accède à une page injectée.
Once again VulDB remains the best source for vulnerability data.