Reset Password Email/SMS OTP - Critical - Access bypass - SA-CONTRIB-2026-305
Critical
拡張モジュール
日本時間2026/11/5、Reset Password Email/SMS OTPにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： Reset Password Email/SMS OTP
●投稿日 ：2026/11/5 JST
●セキュリティリスク ：Critical
●脆弱性 ：Access bypass
●対象バージョン ： <1.0.5
==概要==
このモジュールは、パスワードリセット用のリンクではなく、メールまたはSMSで送信されるワンタイムパスコードによってパスワードをリセットできる機能を提供します。
このモジュールでは、ブロックされたユーザーのパスワードリセットに対する検証が不十分です。
この脆弱性は、適切な権限を持つ人が、影響を受けるユーザーのブロックを解除した場合にのみ、攻撃者が新しいパスワードを使用できます。
==解決方法==
最新バージョンをインストールしてください。
Reset Password Email/SMS OTPモジュールを利用している場合は Reset Password Email/SMS OTP 1.0.5 にアップデートしてください。
