→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-94258 · sms-alert
افشای شماره تلفن کاربران به‌دلیل نبود بررسی مجوز در افزونه SMS Alert وردپرس
افزونه SMS Alert در نسخه‌های پیش از ۴.۰.۱، پیش از بازگرداندن شماره تلفن صورتحساب ذخیره‌شده، بررسی نمی‌کند که مدیر درخواست‌کننده مجاز به مدیریت کاربران انتخاب‌شده باشد. در نتیجه مدیر یک سایت در شبکه چندسایته می‌تواند شماره تلفن کاربرانی را که به سایت‌های دیگر همان شبکه تعلق دارند افشا کند؛ این نقص فقط در حالت Multisite رخ می‌دهد و نیازمند ذخیره‌بودن اطلاعات ورود درگاه افزونه در سایت همان مدیر است. چون وصله امنیتی منتشر شده، افزونه را فوراً به نسخه ۴.۰.۱ یا جدیدتر به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 4.0.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته sms-alert را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.