CVE-2026-17586

Nome do Software Vulnerável e Versões Afetadas VK All in One Expansion Unit versões anteriores a 9.118.1

Description A sanitização insuficiente de entrada e a escape inadequada de saída permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting. Isso ocorre por meio do Post Meta vkExUnit cta img position. O callback sanitize text field não remove caracteres de aspas duplas ou atributos de manipuladores de evento on* durante o processo de salvamento. Além disso, a função Vk Call To Action::safe kses post() apenas reescreve elementos iframe não permitidos e retorna todo o restante do conteúdo verbatim, permitindo que scripts web injetados sejam executados quando um usuário acessa a página afetada.

Recommendations Atualize o VK All in One Expansion Unit para a versão 9.118.1 ou posterior.