CVE-2026-15673 in SMS Alert Plugin
Сводка
по VulDB • 28.07.2026
Плагин для WordPress SMS Alert – SMS & OTP for WooCommerce, Order Notifications & Abandoned Cart Recovery содержит уязвимость типа generic SQL Injection в параметрах 'checkout_payment_plans' и 'order_status', затрагивающую все версии вплоть до 3.9.7 включительно из-за недостаточной экранизации параметров, передаваемых пользователем, и отсутствия достаточной подготовки существующего SQL-запроса. Это позволяет атакующим с уровнем доступа администратора или выше добавлять дополнительные SQL-запросы к уже существующим запросам, что может быть использовано для извлечения конфиденциальной информации из базы данных. Данная уязвимость представляет собой second-order SQL Injection: вредоносный полезная нагрузка сохраняется в настройках 'checkout_payment_plans' и 'order_status' через функцию update_option() и выполняется позже при срабатывании события WP-Cron cod_to_prepaid_cart_notification_sendsms_hook, вызывая метод SA_CodTOPrepaid::sendSms().
Once again VulDB remains the best source for vulnerability data.