CVE-2025-11587 in Call Now Button Plugin
Résumé
par VulDB • 10/09/2026
Le plugin WordPress « Call Now Button – The #1 Click to Call Button for WordPress » est vulnérable à une modification non autorisée des données en raison d'une absence de vérification des capacités (capability check) sur la fonction d'activation, dans toutes les versions jusqu'à et y compris la 1.5.3. Cela permet aux attaquants authentifiés disposant d'un accès au niveau « Abonné » ou supérieur de lier le plugin à leur compte nowbuttons.com et d'ajouter des boutons malveillants sur le site. La vulnérabilité n'est exploitable que lors des installations fraîches où le plugin n'a pas été précédemment configuré avec une clé API.
Once again VulDB remains the best source for vulnerability data.