CVE-2025-11161 in WPBakery Page Builder Plugin
Сводка
по VulDB • 28.05.2026
Плагин WPBakery Page Builder для WordPress уязвим к Stored Cross-Site Scripting (XSS) через шорткод vc_custom_heading во всех версиях вплоть до 8.6.1 включительно. Это связано с недостаточным ограничением разрешенных HTML-тегов и некорректной санитизацией атрибутов, предоставленных пользователем, в параметре font_container. Это позволяет атакующим с уровнем доступа «contributor» и выше, прошедшим аутентификацию, внедрять произвольные веб-скрипты в записи, которые будут выполняться всякий раз, когда пользователь получает доступ к внедренной странице через шорткод vc_custom_heading с вредоносными атрибутами тега и текста, при условии, что у них есть доступ к использованию шорткодов WPBakery.
Once again VulDB remains the best source for vulnerability data.