CVE-2026-94258: утечка billing-телефонов через SMS Alert в WordPress Multisite
В WordPress-плагине SMS Alert (версии до 4.0.1) обнаружена уязвимость, позволяющая администратору одного сайта в составе мультисайтовой сети раскрывать сохранённые платёжные номера телефонов пользователей других сайтов сети. Проблема затрагивает только конфигурации WordPress Multisite и требует наличия сохранённых учётных данных SMS-шлюза. Эксплуатация возможна через массовые действия с пользователями.
Подробности
Уязвимость затрагивает SMS Alert версий с 3.6.4 по 4.0.0 включительно (исправление выпущено в 4.0.1). Тип проблемы — некорректная проверка авторизации (missing authorization) при выполнении массовых действий с пользователями. Плагин не проверяет, имеет ли действующий администратор право управлять выбранными пользователями, прежде чем вернуть их сохранённые платёжные (billing) номера телефонов. В результате администратор одного сайта в сети WordPress Multisite может через функцию массовых действий с пользователями раскрыть телефонные номера пользователей, принадлежащих другим сайтам той же сети. Это классическая проблема горизонтального пересечения границ сайтов в Multisite, где доверительные отношения между администраторами разных сайтов не должны позволять доступ к данным друг друга. Уязвимость проявляется только в конфигурациях WordPress Multisite. Дополнительное условие эксплуатации — учётные данные SMS-шлюза (gateway credentials) должны быть сохранены на сайте самого атакующего администратора. Значение CVSS в записи CVE не указано, поэтому количественная оценка критичности не приводится. Раскрываемая информация относится к категории персональных данных (номера телефонов для биллинга), что повышает значимость инцидента с точки зрения приватности.Что делать
Основная рекомендация — обновить плагин SMS Alert до версии 4.0.1 или более поздней. Это единственный надёжный способ закрыть уязвимость, поскольку исправление реализовано именно в этой версии. Если немедленное обновление невозможно, следует рассмотреть временные меры: ограничить число администраторов в сети Multisite и пересмотреть их роли, а также проверить, где хранятся учётные данные SMS-шлюза. Поскольку эксплуатация требует наличия gateway credentials на сайте атакующего, перенос или удаление этих данных с сайтов, администраторы которых не должны иметь расширенный доступ, снижает риск. Дополнительно стоит ограничить использование массовых действий с пользователями и включить журналирование таких операций для последующего аудита. Организациям, использующим Multisite, целесообразно провести проверку на предмет несанкционированного доступа к billing-данным пользователей и уведомить затронутых лиц, если признаки компрометации будут обнаружены. Итог: CVE-2026-94258 — это уязвимость недостаточной авторизации в SMS Alert, актуальная для WordPress Multisite. Она позволяет администратору одного сайта раскрывать платёжные телефоны пользователей других сайтов. Решение — обновление до версии 4.0.1; до его установки помогают организационные и инфраструктурные митигации, связанные с ограничением доступа и хранением учётных данных шлюза.Источник: CVE Project (cvelistV5)