CVE-2026-15210
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka OTP Login With Phone Number, OTP Verification dla WordPressa przed wersją 1.8.71 nie ogranicza liczby prób weryfikacji OTP ani nie unieważnia kodu logowania po błędnej próbie. Niezalogowany użytkownik może zażądać kodu logowania dla dowolnego konta, a ponieważ kod jest krótkim numerycznym OTP, możliwy jest atak brute-force i przejęcie konta administratora.
Ocena ryzyka
Atakujący może przejąć konto administratora, co prowadzi do pełnej kompromitacji strony WordPress.
Rekomendacja
Zaktualizuj wtyczkę do wersji 1.8.71 lub nowszej, która zawiera poprawki ograniczające próby i unieważniające kody.
Oryginalny opis (angielski, źródło NVD)
The OTP Login With Phone Number, OTP Verification WordPress plugin before 1.8.71 does not limit the number of OTP verification attempts or invalidate a one-time login code after a wrong guess, and an unauthenticated user can request a login code for any account. Because the code is a short numeric OTP, an attacker can brute-force it and take over any account, including an administrator's.