Podatności SMS Alert WordPress plugin

Wtyczka SMS Alert dla WordPressa w wersjach przed 4.0.1 nie wiąże konta, którego hasło jest zmieniane, z numerem telefonu zweryfikowanym podczas resetu hasła OTP. Umożliwia to nieuwierzytelnionym atakującym ustawienie nowego hasła na dowolnym koncie, w tym administratora, poprzez weryfikację kodu jednorazowego wysłanego na kontrolowany numer telefonu.

Wtyczka SMS Alert dla WordPressa w wersjach przed 4.0.1 nie weryfikuje, że konto, na które następuje logowanie, jest tym, do którego należy zweryfikowany kod jednorazowy. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolny użytkownik z zapisanym numerem telefonu, w tym administrator, poprzez wykonanie wyzwania kodowego na kontrolowanym telefonie.

Wtyczka SMS Alert dla WordPressa przed wersją 4.0.1 nie sprawdza, czy działający administrator ma uprawnienia do zarządzania wybranymi użytkownikami przed zwróceniem ich zapisanych numerów telefonów. Administrator jednej witryny w sieci multisite może ujawnić numery telefonów użytkowników należących do innych witryn w tej sieci. Podatność dotyczy tylko multisite i wymaga, aby dane uwierzytelniające bramki SMS były przechowywane na witrynie działającego administratora.

Wtyczka SMS Alert dla WordPressa przed wersją 3.9.8 nie wiąże flagi sesji 'mobile verified' z faktycznie zweryfikowanym numerem telefonu. Po zweryfikowaniu OTP wysłanego na własny telefon atakującego, procedura logowania odczytuje nowy, podany przez atakującego numer telefonu do wyboru konta i loguje go. Nieuwierzytelniony atakujący może zalogować się jako dowolny użytkownik, w tym administrator, który ma numer telefonu do fakturowania.