PT-2025-47248 · WordPress · Vk All In One Expansion Unit

Rafshanzani Suhada · Publicado 2025-11-18 · Atualizado 2025-11-18 · CVE-2025-11267

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin VK All in One Expansion Unit para WordPress versões anteriores à 9.112.1

Descrição O software está suscetível a Stored Cross-Site Scripting através do parâmetro veu custom css. A sanitização de entrada e o escape de saída insuficientes no valor de Custom CSS fornecido pelo usuário permitem que atacantes autenticados com acesso de nível de Contribuidor ou superior injetem scripts web arbitrários. Esses scripts são executados quando um usuário acessa uma página injetada.

Recomendações Atualize o plugin VK All in One Expansion Unit para uma versão posterior à 9.112.1.

Correção

XSS

Enumeração de Fraquezas

CWE-80

Identificadores relacionados

CVE-2025-11267

Produtos afetados

Vk All In One Expansion Unit

Referências · 7

• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&new=3393317%40vk-all-in-one-expansion-unit%2Ftrunk&old=3385606%40vk-all-in-one-expansion-unit%2Ftrunk&sfp_email=&sfph_mail= · Nota
• https://twitter.com/CVEnew/status/1990689107228639728 · Publicação no Twitter
• https://t.me/cveNotify/143151 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/vk-all-in-one-expansion-unit/tags/9.112.0.1/admin/class-veu-metabox.php#L178 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-11267 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/vk-all-in-one-expansion-unit/tags/9.112.0.1/inc/css-customize/css-customize-single.php#L32 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/8996a0f0-8a49-4310-917b-62172c12afdb?source=cve · Nota