CVE-2025-11160
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka WPBakery Page Builder dla WordPressa jest podatna na Stored Cross-Site Scripting przez moduł Custom JS we wszystkich wersjach do 8.6.1 włącznie. Wynika to z niewystarczającego oczyszczania wejścia i braku escapowania wyjścia dla kodu JavaScript dostarczanego przez użytkownika w module Custom JS. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributor lub wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony.
Ocena ryzyka
Ryzyko polega na możliwości wstrzyknięcia złośliwych skryptów, co może prowadzić do kradzieży danych, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację WPBakery Page Builder do wersji nowszej niż 8.6.1 oraz ograniczenie dostępu do modułu Custom JS tylko dla zaufanych użytkowników.
Inne podatności w WPBakery Page Builder
Zobacz wszystkie- CVE-2026-45436Średnie
W WPBakery Page Builder w wersjach do 8.7.2 występuje problem z kontrolą dostępu, który może umożliwić nieautoryzowanym użytkownikom dostęp do zasobów subskrybentów.
- CVE-2026-15101Średnie
Wtyczka WPBakery Page Builder dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'data' we wszystkich wersjach do 8.7.4 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się przy dostępie użytkownika.
- CVE-2025-11161Średnie
Wtyczka WPBakery Page Builder dla WordPressa jest podatna na Stored Cross-Site Scripting przez shortcode vc_custom_heading we wszystkich wersjach do 8.6.1 włącznie. Wynika to z niewystarczającego ograniczenia dozwolonych tagów HTML i niewłaściwego oczyszczania atrybutów w parametrze font_container. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributor lub wyższym wstrzyknięcie dowolnych skryptów webowych w posty, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony.
Oryginalny opis (angielski, źródło NVD)
The WPBakery Page Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Custom JS module in all versions up to, and including, 8.6.1. This is due to insufficient input sanitization and output escaping of user-supplied JavaScript code in the Custom JS module. This makes it possible for authenticated attackers with contributor-level access or higher to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page via the WPBakery Page Builder Custom JS module granted they have access to the WPBakery editor for post types.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS