PT-2025-42314 · WordPress · Orion Sms Otp Verification
Publicado
2025-10-15
·
Atualizado
2025-10-15
·
CVE-2025-9967
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Plugin Orion SMS OTP Verification para WordPress versões até a 1.1.7
Descrição
O plugin Orion SMS OTP Verification para WordPress está susceptível a escalonamento de privilégios, levando a uma potencial tomada de controle de conta. O problema decorre de validação insuficiente da identidade do usuário antes de atualizações de senha, permitindo que atacantes não autenticados modifiquem senhas de usuários. Se um atacante souber o número de telefone de um usuário, ele pode alterar a senha do usuário para uma senha de uso único. Não há menção ao número de dispositivos potencialmente afetados ou a quaisquer incidentes no mundo real onde esse problema foi explorado. O processo vulnerável envolve a atualização da senha de um usuário sem a devida autenticação.
Recomendações
Atualize o plugin Orion SMS OTP Verification para a versão 1.1.8 ou posterior.
Como medida temporária, desative o plugin Orion SMS OTP Verification para proteger seu site.
Correção
LPE
Authentication Bypass Using an Alternate Path or Channel
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Orion Sms Otp Verification