CVE-2026-15014: Błąd uwierzytelniania w wtyczce SMS Alert dla WooCommerce

Co wiadomo

Wtyczka SMS Alert – SMS & OTP dla WooCommerce w wersjach do 3.9.7 umożliwia obejście uwierzytelniania przez lukę w parametrach sesji, co pozwala atakującemu na przejęcie konta użytkownika WordPress, w tym administratora. Problem wynika z niewiązania flagi weryfikacji OTP z konkretnym numerem telefonu.

Wpływ biznesowy

Luka ta stanowi krytyczne zagrożenie dla właścicieli sklepów internetowych korzystających z WooCommerce i wtyczki SMS Alert, ponieważ umożliwia nieautoryzowany dostęp do kont użytkowników, w tym kont administracyjnych. Może to prowadzić do przejęcia kontroli nad witryną, modyfikacji danych i potencjalnych strat finansowych oraz reputacyjnych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie ogranicz ekspozycję usługi, monitoruj logi pod kątem podejrzanych prób logowania oraz zweryfikuj konfigurację zabezpieczeń sesji. W przypadku braku łatki rozważ tymczasowe wyłączenie funkcji OTP lub wtyczki. DataHouse wspiera weryfikację wersji i monitorowanie bezpieczeństwa środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference