CVE-2025-11267

ŚrednieCVSS 6.4

Opublikowano: 18/11/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

Wtyczka VK All in One Expansion Unit dla WordPressa w wersjach do 9.112.1 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr '_veu_custom_css'. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych dla wartości Custom CSS podanej przez użytkownika. Uwierzytelnieni atakujący z poziomem współautora i wyższym mogą wstrzykiwać dowolne skrypty, które wykonują się, gdy użytkownik odwiedza zainfekowaną stronę.

Ocena ryzyka

Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści strony.

Rekomendacja

Zaktualizuj wtyczkę VK All in One Expansion Unit do wersji nowszej niż 9.112.1. Dodatkowo rozważ ograniczenie możliwości edycji Custom CSS dla użytkowników o niskich uprawnieniach.

Inne podatności w VK All in One Expansion Unit WordPress plugin

CVE-2025-11265Średnie
Wtyczka VK All in One Expansion Unit dla WordPressa w wersjach do 9.112.1 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametry 'vkExUnit_cta_url' i 'vkExUnit_cta_button_text'. Wynika to z błędu logicznego w funkcji zapisu CTA, która odczytuje funkcje sanityzacji z niewłaściwej zmiennej ($custom_field_name zamiast $custom_field_options), przez co sanityzacja nigdy nie jest stosowana. Uwierzytelnieni atakujący z poziomem współautora i wyższym mogą wstrzykiwać dowolne skrypty, które wykonują się, gdy użytkownik odwiedza zainfekowaną stronę.

Oryginalny opis (angielski, źródło NVD)

The VK All in One Expansion Unit plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the '_veu_custom_css' parameter in all versions up to, and including, 9.112.1. This is due to insufficient input sanitization and output escaping on the user-supplied Custom CSS value. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS