CVE-2026-94256: обход аутентификации в WordPress-плагине SMS Alert

В WordPress-экосистеме плагины, отвечающие за вход по одноразовым кодам, нередко становятся целью атакующих: именно здесь ошибка в логике проверки может открыть доступ ко всему сайту. Очередное подтверждение этому — уязвимость CVE-2026-94256 в плагине SMS Alert.

Подробности

Речь идёт о WordPress-плагине SMS Alert. Уязвимы версии до 4.0.1; сам идентификатор CVE описывает затронутый продукт как «Unknown SMS Alert», однако в описании прямо указано, что проблема затрагивает SMS Alert WordPress plugin версий ниже 4.0.1. Тип уязвимости — обход аутентификации (Authentication Bypass), связанный с механизмом входа по одноразовому коду (OTP). Плагин не проверяет, что аккаунт, в который выполняется вход, действительно является владельцем проверенного одноразового кода. Иными словами, процедура подтверждения кода оторвана от конкретной учётной записи. Эксплуатация не требует аутентификации: атакующий может пройти проверку кода на телефонном номере, который контролирует сам, после чего войти как любой пользователь сайта, у которого сохранён номер телефона. В число таких пользователей может входить администратор, что делает последствия компрометации максимально серьёзными — от изменения контента и настроек до полного захвата сайта. CVSS-оценка в предоставленной записи CVE не указана, поэтому мы не приводим конкретное значение. Тем не менее отсутствие требования аутентификации для эксплуатации и возможность получить права администратора позволяют отнести уязвимость к высокому уровню критичности.

Что делать

Основная рекомендация — обновить плагин SMS Alert до версии 4.0.1 или более поздней. Это единственный надёжный способ устранить проблему, поскольку исправление затрагивает саму логику сопоставления одноразового кода и учётной записи. Дополнительные меры:

• Проверьте, установлен ли на вашем сайте плагин SMS Alert и какая версия используется.
• Если обновление невозможно в ближайшее время, рассмотрите временное отключение входа по OTP через плагин или ограничение доступа к сайту на уровне WAF.
• Проверьте логи входов на предмет подозрительной активности и убедитесь, что у привилегированных пользователей нет лишних или устаревших номеров телефонов.
• В качестве общей практики: включите двухфакторную аутентификацию, не полагаясь только на OTP-механизмы сторонних плагинов, и регулярно обновляйте все компоненты WordPress.

Итог: CVE-2026-94256 — серьёзная уязвимость обхода аутентификации в SMS Alert до 4.0.1, позволяющая войти под произвольным пользователем, включая администратора. Приоритет действий — немедленное обновление до версии 4.0.1 и проверка журналов входов.

Источник: CVE Project (cvelistV5)