CVE-2026-3655
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Wtyczka OTP Login With Phone Number, OTP Verification dla WordPressa w wersjach 1.8.50 do 1.8.60 zawiera podatność umożliwiającą ominięcie uwierzytelniania. Problem wynika z braku weryfikacji, czy numer telefonu zwrócony przez Firebase odpowiada numerowi ofiary podczas rejestracji przez AJAX. Atakujący może uwierzytelnić się jako dowolny użytkownik, w tym administrator, wykorzystując własną sesję Firebase i podając numer telefonu ofiary.
Ocena ryzyka
Ryzyko dla organizacji jest krytyczne, ponieważ nieuwierzytelniony atakujący może przejąć konta użytkowników, w tym administratorów, co prowadzi do pełnej kompromitacji strony WordPress.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę OTP Login With Phone Number, OTP Verification do wersji nowszej niż 1.8.60, która zawiera poprawkę usuwającą tę podatność.
Oryginalny opis (angielski, źródło NVD)
The OTP Login With Phone Number, OTP Verification plugin for WordPress is vulnerable to authentication bypass in versions 1.8.50 through 1.8.60. This is due to the Firebase verification flow in the `lwp_ajax_register` AJAX handler not binding the Firebase session to the phone number supplied in the request. The `idehweb_lwp_activate_through_firebase()` function validates that a Firebase OTP session is legitimate, but the `phoneNumber` returned by Firebase is never compared against the victim's stored phone number. This makes it possible for unauthenticated attackers to authenticate as any user who has a phone number stored in user meta, including administrators, by verifying their own Firebase session and supplying the victim's phone number in the same request.