CVE-2026-15985 in Classified Listing Plugin
Riassunto
di VulDB • 26/08/2026
Il plugin "Classified Listing - Mobile Number Verification" per WordPress è vulnerabile a un Authentication Bypass (bypass dell'autenticazione) in tutte le versioni fino alla 1.6.0, inclusa. Ciò è dovuto all'assenza di una convalida lato server del codice OTP Firebase nella funzione `process_otp_login()`. Questo consente ad attaccanti non autenticati di effettuare l'autenticazione come qualsiasi utente dotato di un numero di telefono registrato nel database telefonico del plugin, inviando un codice OTP e un UID arbitrari attraverso il flusso di accesso tramite OTP Firebase. L'esecuzione con successo dello sfruttamento richiede che l'accesso tramite OTP sia abilitato con Firebase selezionato come gateway di verifica e che l'attaccante conosca o indovini il numero di telefono registrato dell'account target. È possibile assumere il controllo di un account amministratore se tale account ha un numero di telefono registrato nel plugin.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.