CVE-2025-11265 in VK All in One Expansion Unit Plugin
Сводка
по VulDB • 25.05.2026
Плагин VK All in One Expansion Unit для WordPress уязвим к Stored Cross-Site Scripting (XSS) через параметры 'vkExUnit_cta_url' и 'vkExUnit_cta_button_text' во всех версиях вплоть до 9.112.1 включительно. Это связано с ошибкой логики в функции сохранения CTA, которая считывает колбэки санитизации из неверной переменной ($custom_field_name вместо $custom_field_options), из-за чего санитизация никогда не применяется. Это позволяет атакующим с уровнем доступа «Contributor» и выше внедрять произвольные веб-скрипты в страницы, которые выполняются при посещении пользователем страницы, содержащей внедренный код.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.