CVE-2026-15014
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Wtyczka SMS Alert dla WordPressa w wersjach do 3.9.7 włącznie zawiera podatność na ominięcie uwierzytelniania prowadzącą do przejęcia konta. Funkcja processRegistration() używa flagi sesyjnej $_SESSION['sa_mobile_verified'] jako jedynej bramy przed wydaniem ciasteczka uwierzytelniającego, ale flaga ta nie jest powiązana z konkretnym numerem telefonu. Atakujący może zweryfikować własny numer, a następnie wysłać żądanie rejestracji z numerem ofiary, co skutkuje uwierzytelnieniem jako dowolny istniejący użytkownik WordPressa, w tym administrator.
Ocena ryzyka
Atakujący może przejąć konto dowolnego użytkownika, w tym administratora, bez znajomości hasła, co prowadzi do pełnej kontroli nad witryną WordPress.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę SMS Alert do wersji 3.9.8 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
The SMS Alert – SMS & OTP for WooCommerce, Order Notifications & Abandoned Cart Recovery plugin for WordPress is vulnerable to Authentication Bypass leading to Account Takeover in all versions up to, and including, 3.9.7 via the `billing_phone` parameter. This is due to the `processRegistration()` function using a phone-unbound `$_SESSION['sa_mobile_verified']` boolean flag as the sole gate before issuing an authentication cookie — the flag is set to `true` after any successful OTP validation without being bound to the specific phone number that was verified. This makes it possible for unauthenticated attackers to complete OTP verification for a phone number they control, then resubmit the registration request with a victim's `billing_phone` value to have `wp_set_auth_cookie()` called for the resolved victim account, enabling full authentication as any existing WordPress user whose registered phone number is known or guessable, including administrators.