SMS Alert для WordPress: захват аккаунта через сброс пароля (CVE-2026-94257)
В плагине SMS Alert для WordPress при сбросе пароля по OTP аккаунт не привязывается к номеру телефона, который был проверен. Неаутентифицированный атакующий может задать новый пароль любому пользователю, включая администратора. Оценка CVSS: 8.1.
Проверяется в Shield: нет
Кого касается
Сайты на WordPress с плагином SMS Alert версий до 4.0.3, где используется сброс пароля по одноразовому коду.
Как проверить у себя
В админке WordPress откройте раздел «Плагины» и найдите SMS Alert. Если установленная версия ниже 4.0.3, сайт подвержен уязвимости.
Как исправить
Обновите SMS Alert до версии 4.0.3 или выше, в которой проблема исправлена. После обновления имеет смысл проверить список администраторов на неожиданные изменения.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Используется ли уязвимость в реальных атаках, пока не раскрыто. Источник: запись NVD для CVE-2026-94257.
