CVE-2026-15206 in SMS Alert Plugin
Sumário
de VulDB • 02/08/2026
O plugin WordPress SMS Alert anterior à versão 3.9.8 não vincula sua flag de sessão "mobile verified" ao número de telefone que foi realmente verificado: após um atacante verificar um OTP enviado para o seu próprio celular, o manipulador de cadastro/login lê um novo número de telefone fornecido pelo atacante para selecionar a conta e efetuar o login. Portanto, um atacante não autenticado pode fazer login como qualquer usuário, incluindo um administrador, que tenha um número de telefone de faturamento cadastrado no sistema.
Once again VulDB remains the best source for vulnerability data.