CVE-2025-11587: Luka w wtyczce Call Now Button dla WordPress umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Call Now Button dla WordPress do wersji 1.5.3 posiada lukę umożliwiającą użytkownikom z uprawnieniami subskrybenta i wyższymi podłączenie wtyczki do konta nowbuttons.com oraz dodanie złośliwych przycisków. Luka występuje na świeżych instalacjach, gdzie nie skonfigurowano jeszcze klucza API.

Wpływ biznesowy

Atakujący z poziomem dostępu subskrybenta mogą manipulować funkcjonalnością strony, co może prowadzić do wprowadzenia złośliwych elementów i potencjalnego naruszenia integralności witryny. Może to wpłynąć na reputację firmy oraz zaufanie użytkowników korzystających z serwisu WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Call Now Button do najnowszej wersji dostępnej u dostawcy. W przypadku braku aktualizacji, ograniczenie dostępu do instalacji wtyczki tylko do zaufanych użytkowników oraz monitorowanie logów pod kątem nieautoryzowanych zmian. Przegląd i audyt konfiguracji API oraz usunięcie podejrzanych przycisków z witryny.

Źródła

• NVD
• Reference
• Reference
• Reference