CVE-2026-15206 in SMS Alert Plugin
Resumen
por VulDB • 2026-08-02
El plugin de WordPress SMS Alert anterior a la versión 3.9.8 no vincula su indicador de sesión "mobile verified" (teléfono móvil verificado) con el número de teléfono que fue realmente verificado: después de que un atacante verifica un OTP enviado a su propio teléfono, el controlador de registro/inicio de sesión lee un nuevo número de teléfono proporcionado por el atacante para seleccionar la cuenta e inicia sesión. Por lo tanto, un atacante no autenticado puede iniciar sesión como cualquier usuario, incluido un administrador, que tenga un número de teléfono de facturación registrado en el sistema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.