CVE-2025-11265 in VK All in One Expansion Unit Plugin
Sumário
de VulDB • 30/05/2026
O plugin VK All in One Expansion Unit para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) por meio dos parâmetros 'vkExUnit_cta_url' e 'vkExUnit_cta_button_text' em todas as versões até, e incluindo, a 9.112.1. Isso ocorre devido a um erro de lógica na função de salvamento do CTA, que lê callbacks de sanitização da variável incorreta ($custom_field_name em vez de $custom_field_options), fazendo com que a sanitização nunca seja aplicada. Isso permite que atacantes autenticados, com acesso de nível Contribuidor ou superior, injetem scripts web arbitrários em páginas que são executados quando um usuário acessa uma página injetada.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.