PT-2025-42239 · WordPress · Wpbakery Page Builder

Publicado 2025-10-15 · Atualizado 2025-11-26 · CVE-2025-11161

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do WPBakery Page Builder anteriores à 8.6.2

Descrição O plugin WPBakery Page Builder para WordPress está suscetível a Cross-Site Scripting (XSS) Armazenado através do shortcode vc custom heading. Isso é causado por restrição inadequada de tags HTML permitidas e sanitização imprópria de atributos fornecidos pelo usuário dentro do parâmetro font container. Atacantes autenticados com acesso de nível de contribuidor ou superior podem injetar scripts web arbitrários em posts. Esses scripts serão executados quando um usuário acessar uma página injetada usando o shortcode vc custom heading com atributos de tag e texto maliciosos.

Recomendações Atualize o WPBakery Page Builder para a versão 8.6.2 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-80

Identificadores relacionados

CVE-2025-11161

Produtos afetados

Wpbakery Page Builder

Referências · 7

• https://osv.dev/vulnerability/CVE-2025-11161 · Aviso do Fabricante
• http://kb.wpbakery.com/docs/preface/release-notes · Nota
• https://t.me/cveNotify/138715 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-11161 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/2772cade-c625-437a-b57b-ce8a2e3393bf?source=cve · Nota
• https://t.me/cveNotify/144085 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1978562088927732045 · Publicação no Twitter