SMS Alert для WordPress: захоплення акаунта через скидання пароля (CVE-2026-94257)
У плагіні SMS Alert для WordPress під час скидання пароля через OTP акаунт не прив'язується до номера телефону, який було перевірено. Неавтентифікований атакувальник може встановити новий пароль будь-якому користувачеві, зокрема адміністратору. Оцінка CVSS: 8.1.
Перевіряється в Shield: ні
Кого стосується
Сайти на WordPress із плагіном SMS Alert версій до 4.0.3, де використовується скидання пароля за одноразовим кодом.
Як перевірити в себе
В адмінці WordPress відкрийте розділ «Плагіни» та знайдіть SMS Alert. Якщо встановлена версія нижча за 4.0.3, сайт вразливий.
Як виправити
Оновіть SMS Alert до версії 4.0.3 або новішої, де проблему виправлено. Після оновлення варто перевірити список адміністраторів на неочікувані зміни.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Чи використовується вразливість у реальних атаках, поки не розкрито. Джерело: запис NVD для CVE-2026-94257.
