CVE-2026-96228

Nome do Software Vulnerável e Versões Afetadas SSL Wireless SMS Notification for WordPress versões anteriores a 3.8.2

Descrição Existe uma falha de bypass de autenticação onde o manipulador final login ajax action emite uma sessão autenticada ao corresponder a tabela wp sslcare otp usando apenas as variáveis phone e cap data fornecidas pelo atacante. O sistema não verifica o OTP de SMS ou qualquer estado de uso único no servidor. Como o cap data é escolhido pelo atacante durante a etapa otp login ajax action, o processo de finalização corresponde aos dados e identifica o usuário baseando-se apenas no meta sslcare login phone. Isso permite que atacantes não autenticados que possuam o número de telefone vinculado a um usuário assumam o controle dessa conta.

Recomendações Atualize o SSL Wireless SMS Notification for WordPress para a versão 3.8.2 ou posterior.