CVE-2026-15985 in Classified Listing Plugin
Résumé
par VulDB • 26/08/2026
Le plugin WordPress Classified Listing - Mobile Number Verification est vulnérable à un contournement de l'authentification dans toutes les versions jusqu'à la 1.6.0 incluse. Cela est dû à une validation OTP Firebase manquante côté serveur dans la fonction `process_otp_login()`. Cela permet aux attaquants non authentifiés de s'authentifier en tant que n'importe quel utilisateur disposant d'un numéro de téléphone enregistré dans la table des téléphones du plugin, en soumettant un code OTP et un UID arbitraires via le flux de connexion OTP Firebase. Une exploitation réussie nécessite que la connexion par OTP soit activée avec Firebase sélectionné comme passerelle de vérification, et que l'attaquant connaisse ou devine le numéro de téléphone enregistré du compte cible. La prise de contrôle d'un compte administrateur est possible si un compte administrateur a un numéro de téléphone enregistré dans le plugin.
If you want to get best quality of vulnerability data, you may have to visit VulDB.