CVE-2025-11265

Nome do Software Vulnerável e Versões Afetadas Plugin VK All in One Expansion Unit para WordPress versões anteriores a 9.112.1

Descrição O software é vulnerável a Cross-Site Scripting Armazenado através dos parâmetros vkExUnit cta url e vkExUnit cta button text. Isso é causado por um erro de lógica na função de salvamento do CTA, onde os callbacks de sanitização são lidos de uma variável incorreta, impedindo que a sanitização seja aplicada. Atacantes autenticados com acesso de nível de Contribuidor ou superior podem injetar scripts web arbitrários em páginas, que serão executados quando um usuário acessar a página injetada.

Recomendações Atualize o plugin VK All in One Expansion Unit para a versão 9.112.1 ou posterior.