CVE-2025-11265

ŚrednieCVSS 6.4

Opublikowano: 18/11/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

Wtyczka VK All in One Expansion Unit dla WordPressa w wersjach do 9.112.1 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametry 'vkExUnit_cta_url' i 'vkExUnit_cta_button_text'. Wynika to z błędu logicznego w funkcji zapisu CTA, która odczytuje funkcje sanityzacji z niewłaściwej zmiennej ($custom_field_name zamiast $custom_field_options), przez co sanityzacja nigdy nie jest stosowana. Uwierzytelnieni atakujący z poziomem współautora i wyższym mogą wstrzykiwać dowolne skrypty, które wykonują się, gdy użytkownik odwiedza zainfekowaną stronę.

Ocena ryzyka

Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści strony.

Rekomendacja

Zaktualizuj wtyczkę VK All in One Expansion Unit do wersji nowszej niż 9.112.1. Dodatkowo rozważ ograniczenie możliwości edycji pól CTA dla użytkowników o niskich uprawnieniach.

Inne podatności w VK All in One Expansion Unit WordPress plugin

CVE-2025-11267Średnie
Wtyczka VK All in One Expansion Unit dla WordPressa w wersjach do 9.112.1 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr '_veu_custom_css'. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych dla wartości Custom CSS podanej przez użytkownika. Uwierzytelnieni atakujący z poziomem współautora i wyższym mogą wstrzykiwać dowolne skrypty, które wykonują się, gdy użytkownik odwiedza zainfekowaną stronę.

Oryginalny opis (angielski, źródło NVD)

The VK All in One Expansion Unit plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'vkExUnit_cta_url' and 'vkExUnit_cta_button_text' parameters in all versions up to, and including, 9.112.1. This is due to a logic error in the CTA save function that reads sanitization callbacks from the wrong variable ($custom_field_name instead of $custom_field_options), causing the sanitization to never be applied. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that execute when a user accesses an injected page.",

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS