CVE-2025-11632

ŚrednieCVSS 4.3

Opublikowano: 29/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Wtyczka Call Now Button dla WordPressa do wersji 1.5.4 włącznie ma brak sprawdzenia uprawnień w wielu funkcjach, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie Subscriber i wyższym na nieautoryzowany dostęp do danych, takich jak linki do portalu rozliczeniowego, tokeny sesji czatu, status domeny oraz możliwość modyfikacji informacji rozliczeniowych. Częściowo naprawiono w wersji 1.5.4, a w pełni w 1.5.5.

Ocena ryzyka

Organizacja może być narażona na wyciek danych rozliczeniowych i nieautoryzowane modyfikacje konta, co może prowadzić do strat finansowych i naruszenia prywatności.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki do wersji 1.5.5 lub nowszej oraz przegląd logów pod kątem nieautoryzowanych działań.

Inne podatności w Call Now Button

CVE-2025-11587Średnie
Wtyczka Call Now Button dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji activate we wszystkich wersjach do 1.5.3 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym połączenie wtyczki z ich kontem nowbuttons.com i dodawanie złośliwych przycisków na stronie. Podatność jest wykorzystywana tylko na świeżych instalacjach, gdzie wtyczka nie została wcześniej skonfigurowana z kluczem API.

Oryginalny opis (angielski, źródło NVD)

The Call Now Button – The #1 Click to Call Button for WordPress plugin for WordPress is vulnerable to unauthorized access of data due to a missing capability check on multiple functions in all versions up to, and including, 1.5.4. This makes it possible for authenticated attackers, with Subscriber-level access and above, to generate links to billing portal, where they can view and modify billing information of the connected, account, generate chat session tokens, view domain status, etc. This vulnerability was partially fixed in version 1.5.4 and fully fixed in version 1.5.5

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS