Vulnerabilidades do Glboy OTP Login With Phone Number, OTP Verification

O plugin OTP Login With Phone Number, OTP Verification para WordPress é vulnerável a bypass de autenticação nas versões de 1.8.50 até 1.8.60. Isso ocorre porque o fluxo de verificação do Firebase no handler AJAX `lwp_ajax_register` não vincula a sessão do Firebase ao número de telefone informado na requisição. A função `idehweb_lwp_activate_through_firebase()` valida que uma sessão OTP do Firebase é legítima, mas o `phoneNumber` retornado pelo Firebase nunca é comparado com o número de telefone armazenado da vítima. Isso torna possível que atacantes não autenticados se autentiquem como qualquer usuário que tenha número de telefone armazenado em user meta, incluindo administradores, ao verificar a própria sessão Firebase e informar o número de telefone da vítima na mesma requisição.