SMS Alert para WordPress: toma de cuenta mediante restablecimiento de contraseña (CVE-2026-94257)
El plugin SMS Alert para WordPress no vincula la cuenta cuya contraseña se cambia con el número de teléfono que realmente se verificó durante el restablecimiento por OTP. Un atacante no autenticado puede fijar una nueva contraseña en cualquier cuenta, incluida la de un administrador. Puntuación CVSS: 8.1.
Revisado en Shield: no
Quién está afectado
Sitios WordPress con SMS Alert en versiones anteriores a 4.0.3 que usan el restablecimiento de contraseña con código de un solo uso.
Cómo comprobar
En el administrador de WordPress abre la página Plugins y busca SMS Alert. Si la versión instalada es inferior a 4.0.3, el sitio es vulnerable.
Cómo corregirlo
Actualiza SMS Alert a la versión 4.0.3 o posterior, que corrige el problema. Después de actualizar, conviene revisar la lista de administradores por si hay cambios inesperados.
Qué comprueba Shield no se comprueba
Comprobado por Shield: no. Normalmente esto no se ve desde fuera o la comprobación aún no se ha añadido; reunimos estos casos y añadimos comprobaciones por lotes.
Conviene saber
Aún no se ha revelado si la falla se explota activamente. Fuente: la entrada de NVD para CVE-2026-94257.
