CVE-2026-94256
NieznaneStreszczenie
Wtyczka SMS Alert dla WordPressa w wersjach przed 4.0.1 nie weryfikuje, że konto, na które następuje logowanie, jest tym, do którego należy zweryfikowany kod jednorazowy. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolny użytkownik z zapisanym numerem telefonu, w tym administrator, poprzez wykonanie wyzwania kodowego na kontrolowanym telefonie.
Ocena ryzyka
Nieuwierzytelniony atakujący może zalogować się jako dowolny użytkownik, w tym administrator, przejmując kontrolę nad serwisem WordPress.
Rekomendacja
Zaktualizuj wtyczkę SMS Alert do wersji 4.0.1 lub nowszej. Do czasu aktualizacji rozważ wyłączenie logowania przez OTP.
Inne podatności w SMS Alert WordPress plugin
Zobacz wszystkie- CVE-2026-94257Nieznane
Wtyczka SMS Alert dla WordPressa w wersjach przed 4.0.1 nie wiąże konta, którego hasło jest zmieniane, z numerem telefonu zweryfikowanym podczas resetu hasła OTP. Umożliwia to nieuwierzytelnionym atakującym ustawienie nowego hasła na dowolnym koncie, w tym administratora, poprzez weryfikację kodu jednorazowego wysłanego na kontrolowany numer telefonu.
- CVE-2026-94258Niskie
Wtyczka SMS Alert dla WordPressa przed wersją 4.0.1 nie sprawdza, czy działający administrator ma uprawnienia do zarządzania wybranymi użytkownikami przed zwróceniem ich zapisanych numerów telefonów. Administrator jednej witryny w sieci multisite może ujawnić numery telefonów użytkowników należących do innych witryn w tej sieci. Podatność dotyczy tylko multisite i wymaga, aby dane uwierzytelniające bramki SMS były przechowywane na witrynie działającego administratora.
- CVE-2026-15206Wysokie
Wtyczka SMS Alert dla WordPressa przed wersją 3.9.8 nie wiąże flagi sesji 'mobile verified' z faktycznie zweryfikowanym numerem telefonu. Po zweryfikowaniu OTP wysłanego na własny telefon atakującego, procedura logowania odczytuje nowy, podany przez atakującego numer telefonu do wyboru konta i loguje go. Nieuwierzytelniony atakujący może zalogować się jako dowolny użytkownik, w tym administrator, który ma numer telefonu do fakturowania.
Oryginalny opis (angielski, źródło NVD)
The SMS Alert WordPress plugin before 4.0.1 does not verify that the account being logged in is the one the verified one-time code belongs to, allowing unauthenticated attackers to sign in as any user with a stored phone number, including an administrator, by completing a code challenge on a phone they control.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS