CVE-2026-15014

WordPress için geliştirilen SMS Alert – SMS & OTP for WooCommerce, Order Notifications & Abandoned Cart Recovery eklentisinin 3.9.7 dahil tüm sürümleri, `billing_phone` parametresi üzerinden hesap ele geçirmeye yol açan bir kimlik doğrulama atlatma zafiyetine sahiptir. Bu durum, `processRegistration()` fonksiyonunun, bir kimlik doğrulama çerezi oluşturmadan önceki tek kontrol mekanizması olarak telefon numarasına bağlı olmayan bir `$_SESSION['sa_mobile_verified']` boolean bayrağını kullanmasından kaynaklanmaktadır; söz konusu bayrak, herhangi bir başarılı OTP doğrulamasından sonra, doğrulanan belirli telefon numarasına bağlanmaksızın `true` olarak ayarlanmaktadır. Bu durum, kimliği doğrulanmamış saldırganların kendi kontrollerindeki bir telefon numarası için OTP doğrulamasını tamamlamasını ve ardından kayıt isteğini kurbanın `billing_phone` değeriyle yeniden göndererek çözümlenen kurban hesabı için `wp_set_auth_cookie()` fonksiyonunun çağrılmasını mümkün kılar. Böylece, yöneticiler de dahil olmak üzere, kayıtlı telefon numarası bilinen veya tahmin edilebilen herhangi bir mevcut WordPress kullanıcısı olarak tam kimlik doğrulama sağlanabilir.