PT-2026-34286 · WordPress · Call To Action Plugin

Muhammad Afnaan · Publicado 2026-04-22 · Atualizado 2026-04-23 · CVE-2026-4118

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Name of the Vulnerable Software and Affected Versions Call To Action Plugin versões anteriores a 3.1.4

Description O plugin é suscetível a Cross-Site Request Forgery devido à falta de validação de nonce na função cbox options page(), que gerencia a gravação, criação e exclusão de configurações do plugin. O formulário da página de configurações não possui um wp nonce field(), e o manipulador de gravação não utiliza wp verify nonce() ou check admin referer() antes de processar atualizações via $wpdb->update(). Isso permite que atacantes não autenticados modifiquem opções de configuração, incluindo o título da caixa de chamada para ação, conteúdo, URL do link, URL da imagem e cores, enganando um administrador do site para clicar em um link forjado.

Recommendations Atualize para uma versão posterior a 3.1.3.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2026-4118

Produtos afetados

Call To Action Plugin

Referências · 12

• https://twitter.com/VulmonFeeds/status/2046940508878979291 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-4118 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/call-to-action-plugin/trunk/call-to-action-plugin.php#L76 · Nota
• https://plugins.trac.wordpress.org/browser/call-to-action-plugin/tags/3.1.3/call-to-action-plugin.php#L55 · Nota
• https://plugins.trac.wordpress.org/browser/call-to-action-plugin/trunk/call-to-action-plugin.php#L41 · Nota
• https://plugins.trac.wordpress.org/browser/call-to-action-plugin/trunk/call-to-action-plugin.php#L69 · Nota
• https://plugins.trac.wordpress.org/browser/call-to-action-plugin/trunk/call-to-action-plugin.php#L55 · Nota
• https://plugins.trac.wordpress.org/browser/call-to-action-plugin/tags/3.1.3/call-to-action-plugin.php#L76 · Nota
• https://plugins.trac.wordpress.org/browser/call-to-action-plugin/tags/3.1.3/call-to-action-plugin.php#L69 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/6d15f5de-9ec9-466d-aafe-6304356ccb39?source=cve · Nota
• https://twitter.com/CVEnew/status/2047428124082921570 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/call-to-action-plugin/tags/3.1.3/call-to-action-plugin.php#L41 · Nota