abraxas/cve-2026-11387-woocommerce-sms-otpSMS & OTP for WooCommerce, Order Notifications & Abandoned Cart Recovery प्लगइन WordPress के लिए; SMS Alert <3.9.6; बिना प्रमाणीकरण के विशेषाधिकार वृद्धि (जबरन पासवर्ड रीसेट)
SMS Alert ≤ 3.9.5 - मनमाने पासवर्ड रीसेट के माध्यम से अनधिकृत विशेषाधिकार वृद्धि
WordPress प्लगइन SMS Alert - SMS & OTP for WooCommerce, Order Notifications & Abandoned Cart Recovery में एक गंभीर अनुचित-प्रमाणीकरण दोष। जब पासवर्ड रीसेट के लिए OTP सत्यापन सक्षम होता है, तो एक अनधिकृत कॉलर उस उपयोगकर्ता के लिए नया पासवर्ड सेट कर सकता है जिसका फ़ोन नंबर रिकॉर्ड पर है - प्रशासकों सहित - बिना उस फ़ोन के स्वामित्व को सिद्ध किए।
| CVE | CVE-2026-11387 |
| CWE | CWE-287: अनुचित प्रमाणीकरण |
| CVSS 3.1 | 9.8 गंभीर (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| विक्रेता | Cozy Vision Technologies Pvt. Ltd. |
| उत्पाद | SMS Alert (sms-alert) |
| प्रभावित | 3.9.5 तक के सभी संस्करण |
| पैच किया गया | 3.9.6 (27 जून 2026) |
| CNA | Wordfence |
यह रिपॉज़िटरी केवल अधिकृत परीक्षण के लिए एक Abraxas Labs प्रूफ-ऑफ-कॉन्सेप्ट रखती है - विक्रेता प्रकटीकरण, लैब प्रतिकृति, या ऐसा होस्ट जिसका मूल्यांकन करने के लिए आपके पास लिखित अनुमति है।
SMS Alert WooCommerce / WordPress खोए-पासवर्ड प्रवाह को हुक करता है ताकि SMS द्वारा भेजा गया एक-बार कोड नए पासवर्ड को नियंत्रित करे। प्रभावित संस्करणों में option=smsalert-change-password-form के पीछे का हैंडलर smsalert_user_newpwd को लागू करता है, बिना यह जाँचे कि कॉलर ने OTP सत्यापन पूरा किया है या अन्यथा खाते का स्वामी है।
आधिकारिक CVE रिकॉर्ड यह भी नोट करता है कि वही अनुपस्थित पहचान जाँच का उपयोग पीड़ित के ईमेल पते को बदलने और फिर सामान्य रीसेट के माध्यम से खाते पर कब्ज़ा करने के लिए किया जा सकता है। दोनों में से कोई भी मार्ग अनधिकृत खाता अधिग्रहण है।
साइटें केवल तब उजागर होती हैं जब ये दोनों सत्य हों:
billing_phone)।उन परिस्थितियों में प्रभाव चुने गए खाते का पूर्ण समझौता है। एक प्रशासक अधिग्रहण पूर्ण साइट समझौता है।
| स्थिति | परिणाम |
|---|---|
| अनधिकृत नेटवर्क पहुँच | किसी WordPress क्रेडेंशियल की आवश्यकता नहीं |
| लक्ष्य खरीदार / ग्राहक है | उस ग्राहक का खाता अधिग्रहण |
| लक्ष्य प्रशासक है | wp-admin तक विशेषाधिकार वृद्धि, प्लगइन/थीम इंस्टॉल, स्थायी मैलवेयर |
गोपनीयता, अखंडता और उपलब्धता सभी उच्च हैं: हमलावर ऑर्डर और PII पढ़ सकता है, साइट सामग्री और उपयोगकर्ताओं को बदल सकता है, और वैध स्वामी को बाहर लॉक कर सकता है।
SMS Alert के साथ पासवर्ड रीसेट मोटे तौर पर इस तरह दिखता है:
lost-password request → OTP to the user’s phone → verified change-password POST
टूटा हुआ चरण अंतिम है। प्लगइन $_REQUEST['option'] == 'smsalert-change-password-form' पर रूट करता है (3.9.5 में class-wpresetpassword.php देखें) और फिर सबमिट किया गया पासवर्ड लिखता है। यह उस POST को पूर्व OTP सत्र, nonce, या क्षमता जाँच से नहीं बाँधता जो सिद्ध करे कि कॉलर रीसेट में नामित उपयोगकर्ता है।
यह प्रूफ-ऑफ-कॉन्सेप्ट उसी हैंडलर पर रहता है:
/my-account/lost-password/ और /wp-login.php?action=lostpassword पर wc_reset_password सेट करके POST, ताकि पीड़ित उपयोगकर्ता नाम के लिए प्लगइन का रीसेट पथ प्रवेश किया जाए।/, /my-account/lost-password/, और wp-login lost-password क्रिया पर option=smsalert-change-password-form के साथ smsalert_user_newpwd / smsalert_user_cnfpwd POST करें। password-reset=true वाला Location हेडर सफलता माना जाता है।wp-login.php आज़माती है ताकि लैब रन वास्तविक अधिग्रहण को चूक (OTP विकल्प बंद, या उपयोगकर्ता पर कोई फ़ोन नहीं) से अलग बता सके।कोई OTP सबमिट नहीं किया जाता। यही बग है।
CVE-2026-11387-WooCommerce-SMS-OTP-Abraxas-Labs.py एक छोटा Python 3 क्लाइंट है: रंगीन बैनर, फिर ऊपर के तीन चरण। यह केवल उस URL से बात करता है जो आप कमांड लाइन पर पास करते हैं।
requestsHomebrew Python (PEP 668) वाले macOS पर, सिस्टम pip install के बजाय venv का उपयोग करें:
python3 -m venv .venv
.venv/bin/pip install requests
CVE-2026-11387-WooCommerce-SMS-OTP-Abraxas-Labs.py <base_url> <victim_username> [new_password]
.venv/bin/python3 CVE-2026-11387-WooCommerce-SMS-OTP-Abraxas-Labs.py \
https://shop.example \
admin
तीसरा तर्क लागू करने के लिए पासवर्ड सेट करता है; डिफ़ॉल्ट abr4x4s#L4b5 है।
बिना तर्क के स्क्रिप्ट बैनर और उपयोग प्रिंट करती है, फिर 1 के साथ बाहर निकलती है। यह पुष्टि करने का सुरक्षित तरीका है कि क्लाइंट शुरू होता है।
लक्ष्य WordPress साइट SMS Alert ≤ 3.9.5 चला रही होनी चाहिए, रीसेट पर OTP सक्षम होना चाहिए, और पीड़ित उपयोगकर्ता नाम के पास OTP के लिए पहले से फ़ोन नंबर होना चाहिए। पैच किए गए 3.9.6+ साइट, या बिना फ़ोन वाले उपयोगकर्ता के विरुद्ध, लॉगिन जाँच विफल होने की अपेक्षा है।
इसे किसी ऐसे होस्ट पर न लक्षित करें जिसका आप स्वामी न हों या जिसका परीक्षण करने के लिए आपके पास लिखित अनुमति न हो।
wp-admin सत्रों को अविश्वसनीय मानें।class-ultimatemember.php (Trac)केवल शोध और शैक्षिक उपयोग। इस सामग्री को किसी भी होस्ट के विरुद्ध तब तक न चलाएँ, तैनात न करें, या उपयोग न करें जब तक कि आपके पास इस रिपॉज़िटरी को होस्ट करने वाले पक्ष और लक्ष्य सिस्टम के स्वामी दोनों से स्पष्ट लिखित अनुमति न हो।
Abraxas Labs · abraxaslabs.tech · github.com/abraxas · @abraxas_null