CVE-2025-3876 in SMS Alert Order Notifications Plugin

الملخص

بحسب VulDB • 18/06/2026

تحتوي إضافة WooCommerce لإشعارات طلب تنبيه الرسائل القصيرة (SMS Alert Order Notifications) على ثغرة تصعيد الامتياز بسبب التحقق غير الكافي من رمز OTP لمستخدميها في دالة handleWpLoginCreateUserAction() في جميع الإصدارات حتى 3.8.1 وشاملةً لها. وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المشترك (Subscriber) فأعلى، انتحال هوية أي حساب عن طريق تزويد اسم المستخدم أو البريد الإلكتروني الخاص به، وتصعيد امتيازاتهم إلى مستوى المسؤول (Administrator).

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• حجز: 22/04/2025
• إفشاء: 10/05/2025
• الاعتدال: تمت الموافقة
• إدخال: VDB-308268
• CPE: جاهز
• CWE: CWE-862 (مؤكد)
• CVSS: 8.8 (CNA)
• EPSS: 0.00441
• KEV: لا
• النشاطات: منخفض جدًا
• القطاع: Hostingprovider

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-3876
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-3876
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-3876/