CVE-2025-11632: Luka w wtyczce Call Now Button dla WordPress umożliwiająca nieautoryzowany dostęp do danych

Co wiadomo

Wtyczka Call Now Button dla WordPress do wersji 1.5.4 zawierała lukę umożliwiającą użytkownikom z uprawnieniami subskrybenta i wyższymi dostęp do linków portalu rozliczeniowego, gdzie mogli przeglądać i modyfikować informacje billingowe oraz generować tokeny sesji czatu. Luka została częściowo załatana w wersji 1.5.4 i całkowicie w 1.5.5.

Wpływ biznesowy

Atakujący z kontem subskrybenta lub wyższym mogą uzyskać dostęp do wrażliwych danych rozliczeniowych i zarządzać nimi, co może prowadzić do nadużyć finansowych i naruszenia prywatności klientów. Organizacje korzystające z tej wtyczki powinny zweryfikować wersję i ocenić ryzyko nieautoryzowanego dostępu do danych oraz potencjalnych strat finansowych i reputacyjnych.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Call Now Button do wersji 1.5.5 lub nowszej, która zawiera pełną poprawkę. W przypadku braku możliwości aktualizacji należy ograniczyć dostęp użytkowników do poziomu poniżej subskrybenta oraz monitorować logi pod kątem podejrzanych działań związanych z portalem rozliczeniowym. Warto również przeprowadzić audyt uprawnień użytkowników i przegląd polityk bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference