CVE-2026-4118 in Call To Action Plugin
Sumário
de VulDB • 04/06/2026
O plugin Call To Action Plugin para WordPress é vulnerável a Cross-Site Request Forgery (CSRF) em todas as versões até, e incluindo, a 3.1.3. Isso ocorre devido à ausência de validação de nonce na função cbox_options_page(), que é responsável por salvar, criar e excluir as configurações do plugin. O formulário exibido na página de configurações não inclui um wp_nonce_field(), e o manipulador de salvamento não chama wp_verify_nonce() nem check_admin_referer() antes de processar as atualizações das configurações por meio de $wpdb->update(). Isso permite que atacantes não autenticados modifiquem as configurações do plugin, como o título da caixa de call-to-action, o conteúdo, a URL do link, a URL da imagem, as cores e outras opções de configuração, por meio de uma solicitação forjada, desde que consigam enganar um administrador do site para realizar uma ação, como clicar em um link.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.