SMS Alert dla WordPress: przejęcie konta przez reset hasła (CVE-2026-94257)
Wtyczka SMS Alert dla WordPress nie wiąże konta, któremu zmieniane jest hasło, z numerem telefonu, który faktycznie zweryfikowano podczas resetu hasła przez OTP. Nieuwierzytelniony atakujący może ustawić nowe hasło dowolnemu kontu, także administratora. Ocena CVSS: 8.1.
Sprawdzane w Shield: nie
Kogo dotyczy
Witryny WordPress z wtyczką SMS Alert w wersjach przed 4.0.3, które używają resetu hasła jednorazowym kodem.
Jak sprawdzić u siebie
W panelu WordPress otwórz stronę Wtyczki i znajdź SMS Alert. Jeśli zainstalowana wersja jest niższa niż 4.0.3, witryna jest podatna.
Jak naprawić
Zaktualizuj SMS Alert do wersji 4.0.3 lub nowszej, w której usunięto błąd. Po aktualizacji warto sprawdzić listę administratorów pod kątem nieoczekiwanych zmian.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Czy luka jest wykorzystywana w atakach, nie ujawniono jeszcze. Źródło: wpis NVD dla CVE-2026-94257.
