VULNERABILIDAD
CVE-2026-94257 Escalada de privilegios en SMS Alert por restablecimiento de contraseña arbitrario
El plugin SMS Alert para WordPress, en versiones anteriores a 4.0.1, no vincula la cuenta cuya contraseña se cambia con el número de teléfono verificado durante el restablecimiento por OTP. Atacantes no autenticados pueden establecer una nueva contraseña en una cuenta arbitraria, incluida la de administrador, verificando un código enviado a un teléfono que controlan.
Alerta de Nureq Monitor
Detectada 10 OCT · 03:35
CVSS 3.1
8.1ALTAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,2 % PERCENTIL 13
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-94257
El plugin SMS Alert para WordPress, en versiones anteriores a 4.0.1, no vincula la cuenta cuya contraseña se cambia con el número de teléfono verificado durante el restablecimiento por OTP. Atacantes no autenticados pueden establecer una nueva contraseña en una cuenta arbitraria, incluida la de administrador, verificando un código enviado a un teléfono que controlan.
Productos y versiones afectadas
SMS Alert
Qué hacer
- Verificá si usás SMS Alert y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 8.1 ALTA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Alta
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Alta
- INTEGRIDAD (I)
- Alta
- DISPONIBILIDAD (A)
- Alta
Abrir la calculadora completa →
Descripción original
The SMS Alert WordPress plugin before 4.0.1 does not bind the account whose password is being changed to the phone number that was actually verified during its OTP password reset, allowing unauthenticated attackers to set a new password on an arbitrary account, including an administrator, by verifying a one-time code sent to a phone number they control.
Referencias
- wpscan.com/vulnerability/4c32fa5b-4677-4f62-8856-fbe9c601fc36/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.