CVE-2026-94257: критическая уязвимость в WordPress-плагине SMS Alert позволяет сбросить пароль администратора
В WordPress-плагине SMS Alert версий до 4.0.1 обнаружена уязвимость несанкционированного повышения привилегий. Из-за отсутствия привязки сбрасываемого аккаунта к проверенному номеру телефона неаутентифицированный атакующий может установить новый пароль любому пользователю, включая администратора. Уязвимость критична для сайтов, использующих этот плагин.
Подробности
Проблема затрагивает плагин SMS Alert для WordPress в версиях до 4.0.1. Согласно описанию CVE-2026-94257, механизм сброса пароля по OTP не привязывает учётную запись, для которой меняется пароль, к номеру телефона, который фактически прошёл проверку. Иными словами, плагин проверяет корректность одноразового кода, но не сопоставляет его с тем пользователем, чей пароль впоследствии сбрасывается. Эта логическая ошибка открывает путь к несанкционированному повышению привилегий (privilege escalation). Атакующему достаточно пройти верификацию OTP на телефонном номере, который он контролирует, после чего он может установить новый пароль для любого аккаунта на сайте — включая администратора. Для эксплуатации не требуется аутентификация, что существенно повышает опасность: уязвимость может быть использована удалённо и без предварительного доступа к системе. Точное значение CVSS в записи CVE не указано. При этом характер уязвимости — неаутентифицированный захват учётной записи администратора — позволяет отнести её к категории критических. Стоит отметить, что в качестве затронутого продукта в записи указано «Unknown SMS Alert», то есть данные о конкретном вендоре в бюллетене не детализированы.Что делать
Основная рекомендация — как можно скорее обновить плагин SMS Alert до версии 4.0.1 или более поздней, где проблема устранена. Если обновление невозможно в кратчайшие сроки, следует рассмотреть временные митигации: ограничить доступ к функциональности сброса пароля по OTP, временно отключить плагин либо заблокировать соответствующие эндпоинты средствами веб-сервера или WAF. Дополнительно рекомендуется провести проверку журналов аутентификации и сброса паролей на предмет подозрительной активности, а также убедиться, что для всех привилегированных учётных записей включены дополнительные меры защиты, например двухфакторная аутентификация. В случае обнаружения признаков компрометации необходимо немедленно сменить пароли администраторов и провести аудит сайта. Итог: CVE-2026-94257 — серьёзная уязвимость, позволяющая без аутентификации захватить любую учётную запись в WordPress при использовании уязвимых версий SMS Alert. Единственный надёжный способ защиты — установка версии 4.0.1 и выше; до обновления стоит применить компенсирующие меры и усилить мониторинг.Источник: CVE Project (cvelistV5)