CVE-2025-11265
El plugin VK All in One Expansion Unit para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) a través de los parámetros 'vkExUnit_cta_url' y 'vkExUnit_cta_button_text' en todas las versiones hasta y inclusive la 9.112.1. Esto se debe a un error lógico en la función CTA save que lee las callbacks de sanitización desde la variable incorrecta ($custom_field_name en lugar de $custom_field_options), lo que causa que nunca se aplique la sanitización. Esto permite a los atacantes autenticados, con acceso de nivel Contributor o superior, inyectar scripts web arbitrarios en páginas que se ejecutan cuando un usuario accede a una página inyectada.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org