CVE-2026-15206
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka SMS Alert dla WordPressa przed wersją 3.9.8 nie wiąże flagi sesji 'mobile verified' z faktycznie zweryfikowanym numerem telefonu. Po zweryfikowaniu OTP wysłanego na własny telefon atakującego, procedura logowania odczytuje nowy, podany przez atakującego numer telefonu do wyboru konta i loguje go. Nieuwierzytelniony atakujący może zalogować się jako dowolny użytkownik, w tym administrator, który ma numer telefonu do fakturowania.
Ocena ryzyka
Organizacja ryzykuje całkowite przejęcie konta administratora i innych użytkowników, co może prowadzić do pełnej kompromitacji witryny.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę SMS Alert do wersji 3.9.8 lub nowszej.
Inne podatności w SMS Alert WordPress plugin
Zobacz wszystkie- CVE-2026-94257Wysokie
Wtyczka SMS Alert dla WordPressa w wersjach przed 4.0.1 nie wiąże konta, którego hasło jest zmieniane, z numerem telefonu zweryfikowanym podczas resetu hasła OTP. Umożliwia to nieuwierzytelnionym atakującym ustawienie nowego hasła na dowolnym koncie, w tym administratora, poprzez weryfikację kodu jednorazowego wysłanego na kontrolowany numer telefonu.
- CVE-2026-94256Wysokie
Wtyczka SMS Alert dla WordPressa w wersjach przed 4.0.1 nie weryfikuje, że konto, na które następuje logowanie, jest tym, do którego należy zweryfikowany kod jednorazowy. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolny użytkownik z zapisanym numerem telefonu, w tym administrator, poprzez wykonanie wyzwania kodowego na kontrolowanym telefonie.
- CVE-2026-94258Niskie
Wtyczka SMS Alert dla WordPressa przed wersją 4.0.1 nie sprawdza, czy działający administrator ma uprawnienia do zarządzania wybranymi użytkownikami przed zwróceniem ich zapisanych numerów telefonów. Administrator jednej witryny w sieci multisite może ujawnić numery telefonów użytkowników należących do innych witryn w tej sieci. Podatność dotyczy tylko multisite i wymaga, aby dane uwierzytelniające bramki SMS były przechowywane na witrynie działającego administratora.
Oryginalny opis (angielski, źródło NVD)
The SMS Alert WordPress plugin before 3.9.8 does not bind its "mobile verified" session flag to the phone number that was actually verified: after an attacker verifies an OTP sent to their own phone, the signup/login handler reads a fresh, attacker-supplied phone number to select the account and logs them in. An unauthenticated attacker can therefore log in as any user, including an administrator, who has a billing phone on file.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS