PT-2026-50356
CVE-2026-54803
·
Publicado
2026-06-16
·
Atualizado
2026-06-17
Descrição por
CVSS 3.1
9.8
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas
SMS Alert – SMS & OTP for WooCommerce, Order Notifications & Abandoned Cart Recovery versões anteriores a 3.9.5
Descrição
Existe um problema onde ocorre a falta de validação entre o número de telefone fornecido durante o login e o número de telefone verificado via One-Time Password (OTP) na sessão. Essa falha permite a reutilização de tokens de sessão entre diferentes contas, possibilitando que atacantes autenticados com nível de acesso de assinante ou superior façam login como qualquer usuário, incluindo administradores, sem saber a senha. Isso é realizado fornecendo um nome de usuário arbitrário após a conclusão da verificação de OTP para um número de telefone diferente.
Recomendações
Atualize para uma versão posterior à 3.9.4.
Explorabilidade
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾