CVE-2026-3655

Nome do Software Vulnerável e Versões Afetadas OTP Login With Phone Number, OTP Verification plugin for WordPress versões 1.8.50 a 1.8.60

Description Existe um bypass de autenticação devido ao fluxo de verificação do Firebase no manipulador AJAX 'lwp ajax register' não vincular a sessão do Firebase ao número de telefone fornecido na requisição. A função idehweb lwp activate through firebase() valida se uma sessão de OTP do Firebase é legítima, mas não compara o phoneNumber retornado pelo Firebase com o número de telefone armazenado da vítima. Isso permite que atacantes não autenticados se autentiquem como qualquer usuário que possua um número de telefone armazenado nos metadados do usuário, incluindo administradores, verificando sua própria sessão do Firebase e fornecendo o número de telefone da vítima na mesma requisição.

Recommendations Atualize o plugin para uma versão posterior a 1.8.60. Como medida paliativa temporária, restrinja o acesso ao manipulador AJAX 'lwp ajax register' para minimizar o risco de exploração.