CVE-2026-15985 in Classified Listing Plugin
Zusammenfassung
von VulDB • 26.08.2026
Das WordPress-Plugin "Classified Listing - Mobile Number Verification" ist in allen Versionen bis einschließlich 1.6.0 anfällig für eine Authentifizierungs-Umgehung (Authentication Bypass). Dies liegt an der fehlenden serverseitigen Firebase OTP-Validierung in der Funktion `process_otp_login()`. Dadurch ist es nicht authentifizierten Angreifern möglich, sich als jeder Benutzer mit einer im Telefon-Tabelle des Plugins registrierten Telefonnummer zu authentifizieren, indem sie einen beliebigen OTP-Code und eine UID über den Firebase OTP-Anmeldeprozess einreichen. Eine erfolgreiche Ausnutzung erfordert, dass die OTP-Anmeldung aktiviert ist und Firebase als Verifizierungs-Gateway ausgewählt wurde; zudem muss der Angreifer die registrierte Telefonnummer des Zielkontos kennen oder erraten. Die Übernahme eines Administrator-Kontos ist möglich, wenn für dieses Konto eine Telefonnummer im Plugin registriert ist.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.