SMS Alert para WordPress: tomada de conta via redefinição de senha (CVE-2026-94257)
O plugin SMS Alert para WordPress não vincula a conta cuja senha está sendo alterada ao número de telefone que foi realmente verificado na redefinição de senha por OTP. Um atacante não autenticado pode definir uma nova senha em qualquer conta, inclusive a de um administrador. Pontuação CVSS: 8.1.
Verificado no Shield: não
Quem é afetado
Sites WordPress com SMS Alert em versões anteriores à 4.0.3 que usam a redefinição de senha por código de uso único.
Como verificar
No painel do WordPress, abra a página Plugins e procure por SMS Alert. Se a versão instalada for inferior a 4.0.3, o site está vulnerável.
Como corrigir
Atualize o SMS Alert para a versão 4.0.3 ou superior, que corrige o problema. Depois de atualizar, vale revisar a lista de administradores em busca de alterações inesperadas.
O que o Shield verifica não é verificado
Verificado pelo Shield: não. Normalmente isso não aparece de fora ou a verificação ainda não foi adicionada; reunimos esses casos e adicionamos verificações em lotes.
Bom saber
Ainda não foi divulgado se a falha é explorada na prática. Fonte: a entrada do NVD para CVE-2026-94257.
