🔴 CVE-2026-15014: Critical Schwachstelle

„`html

Zusammenfassung

Die WordPress-Erweiterung „SMS Alert – SMS & OTP for WooCommerce“ (Versionen bis 3.9.7) enthält eine kritische Authentifizierungslücke. Ein Authentifizierungs-Bypass-Fehler ermöglicht es Angreifern, sich als beliebige Benutzer auszugeben und vollständigen Zugriff auf WordPress-Konten zu erlangen, einschließlich Administratorkonten.

Betroffene Systeme

• SMS Alert – SMS & OTP for WooCommerce Plugin
• Alle Versionen bis einschließlich 3.9.7
• WordPress-Installationen mit aktiviertem Plugin
• Besonders gefährdet: Systeme mit bekannten oder erratbaren Telefonnummern von Administratoren

Technische Details

Die Verwundbarkeit liegt in der processRegistration()-Funktion. Das Plugin verwendet ein Session-Flag ($_SESSION['sa_mobile_verified']), das nach jeder erfolgreichen OTP-Validierung auf true gesetzt wird. Das kritische Problem: Dieses Flag ist nicht an die spezifische Telefonnummer gebunden, für die die OTP-Validierung stattfand.

Der Angriffspfad:

1. Angreifer führt OTP-Validierung für eine Telefonnummer unter seiner Kontrolle durch
2. Session-Flag wird auf true gesetzt
3. Angreifer sendet Registrierungsanfrage mit dem Parameter billing_phone eines Opfers
4. Die Funktion prüft nur das generische Flag, nicht die Telefonnummer
5. wp_set_auth_cookie() wird für das Opfer-Konto aufgerufen
6. Vollständige Authentifizierung als fremder Benutzer erfolgt

Empfohlene Massnahmen

• Sofortige Deaktivierung des betroffenen Plugins auf allen Systemen
• Alternativsystem für OTP-basierte Authentifizierung implementieren
• Alle WordPress-Benutzerkonten auf verdächtige Aktivitäten überprüfen
• Session-Logs analysieren auf unbefugte Anmeldeversuche
• Administratorkennwörter zurücksetzen
• Auf Sicherheitsupdate des Plugin-Entwicklers warten (kein Patch verfügbar)

Bewertung

CVSS 9.8 (Critical) | Authentifizierungsvektoren: Network | Komplexität: Low | Berechtigungen erforderlich: None | Benutzerinteraktion: None

Diese Schwachstelle ermöglicht unauthorized account takeover ohne jegliche Authentifizierung und stellt eine unmittelbare Bedrohung dar.

„`