CVE-2026-66424

Nome do Software Vulnerável e Versões Afetadas SMS Alert Order Notifications versões anteriores a 3.9.8

Descrição Existe uma escalada de privilégios não autenticada devido a uma chave de sessão OTP compartilhada sa mobile verified entre todos os manipuladores de formulário e uma verificação de número de telefone insuficiente no manipulador de registro do WooCommerce. O manipulador utiliza strpos em vez de igualdade estrita e não exige que sa mobile seja definido, permitindo a reutilização de sessão entre formulários para ignorar a verificação de propriedade do telefone. Um invasor pode fazer login como qualquer usuário existente cujo número de telefone seja conhecido, completando a verificação de OTP em qualquer outro manipulador de formulário integrado e, em seguida, enviando o formulário de registro do WooCommerce com o número de telefone da vítima.

Recomendações Atualize o SMS Alert Order Notifications para a versão 3.9.8 ou posterior.