CVE-2025-11161
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka WPBakery Page Builder dla WordPressa jest podatna na Stored Cross-Site Scripting przez shortcode vc_custom_heading we wszystkich wersjach do 8.6.1 włącznie. Wynika to z niewystarczającego ograniczenia dozwolonych tagów HTML i niewłaściwego oczyszczania atrybutów w parametrze font_container. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributor lub wyższym wstrzyknięcie dowolnych skryptów webowych w posty, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony.
Ocena ryzyka
Ryzyko polega na możliwości wstrzyknięcia złośliwych skryptów, co może prowadzić do kradzieży sesji, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania wśród użytkowników.
Rekomendacja
Zaleca się aktualizację WPBakery Page Builder do wersji nowszej niż 8.6.1 oraz ograniczenie dostępu do shortcode'ów tylko dla zaufanych użytkowników.
Inne podatności w WPBakery Page Builder
Zobacz wszystkie- CVE-2026-45436Średnie
W WPBakery Page Builder w wersjach do 8.7.2 występuje problem z kontrolą dostępu, który może umożliwić nieautoryzowanym użytkownikom dostęp do zasobów subskrybentów.
- CVE-2026-15101Średnie
Wtyczka WPBakery Page Builder dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'data' we wszystkich wersjach do 8.7.4 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się przy dostępie użytkownika.
- CVE-2025-11160Średnie
Wtyczka WPBakery Page Builder dla WordPressa jest podatna na Stored Cross-Site Scripting przez moduł Custom JS we wszystkich wersjach do 8.6.1 włącznie. Wynika to z niewystarczającego oczyszczania wejścia i braku escapowania wyjścia dla kodu JavaScript dostarczanego przez użytkownika w module Custom JS. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributor lub wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony.
Oryginalny opis (angielski, źródło NVD)
The WPBakery Page Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the vc_custom_heading shortcode in all versions up to, and including, 8.6.1. This is due to insufficient restriction of allowed HTML tags and improper sanitization of user-supplied attributes in the font_container parameter. This makes it possible for authenticated attackers with contributor-level access or higher to inject arbitrary web scripts in posts that will execute whenever a user accesses an injected page via the vc_custom_heading shortcode with malicious tag and text attributes granted they have access to use WPBakery shortcodes.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS