8.1
Élevée
CVE-2026-94257 SMS Alert 3.9.6 - 4.0.2 - Unauthenticated Privilege Escalation via Arbitrary Password Reset
Description
The SMS Alert WordPress plugin before 4.0.3 does not bind the account whose password is being changed to the phone number that was actually verified during its OTP password reset, allowing unauthenticated attackers to set a new password on an arbitrary account, including an administrator, by verifying a one-time code sent to a phone number they control.
Détail CVSS 3.1
Vecteur CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HExploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.
- Vecteur d’attaque
- Réseau
- Complexité
- Élevée
- Privilèges requis
- Aucun
- Interaction
- Aucune
- Portée
- Inchangée
- Confidentialité
- Élevé
- Intégrité
- Élevé
- Disponibilité
- Élevé
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| SMS Alert 3.9 | 3.9.6 → < 4.0.3 | 4.0.3 |
Autres CVE de SMS Alert
Les 4 CVE de SMS Alert →
CVE-2026-94256
The SMS Alert WordPress plugin before 4.0.1 does not verify that the account being logged in is the one the verified…
8.1
Élevée
CVE-2026-94258
The SMS Alert WordPress plugin before 4.0.1 does not check that the acting administrator is allowed to manage the…
2.7
Faible
CVE-2026-15206
The SMS Alert WordPress plugin before 3.9.8 does not bind its "mobile verified" session flag to the phone number that…
7.5
Élevée