Fuente base de datos: Wordfence Intelligence

Happy Coders OTP Login for WooCommerce <= 2.7 - Unauthenticated Privilege Escalation via Account Takeover - version 2.8

PLUGIN CRITICAL CVE-2026-12492

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Happy Coders OTP Login para WooCommerce, que permite la escalación de privilegios no autenticada. Esta falla puede ser explotada para tomar el control de cuentas de usuario, lo que representa un grave riesgo operativo.

Contexto técnico

El fallo se origina en el plugin Happy Coders OTP Login para WooCommerce en versiones hasta 2.7, permitiendo a un atacante no autenticado ejecutar acciones que comprometen la seguridad de las cuentas de usuario. La superficie de ataque se centra en la falta de validación adecuada de los permisos de usuario.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en accesos no autorizados a cuentas de clientes, poniendo en riesgo datos sensibles y la integridad de la tienda online. Esto puede derivar en pérdidas financieras y daños a la reputación de la marca.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas que no requieren autenticación, lo que facilita la toma de control de cuentas sin necesidad de credenciales.

Mitigación recomendada

Actualizar el plugin Happy Coders OTP Login a la versión 2.8 o superior. Revisar los registros de actividad para detectar accesos no autorizados. Implementar medidas adicionales de seguridad, como autenticación de dos factores y limitación de intentos de inicio de sesión.

Señales de detección

Revisar los logs de acceso en busca de patrones inusuales, como intentos de acceso a cuentas sin autenticación previa o cambios en la configuración de usuarios.

Alcance afectado

Las versiones del plugin Happy Coders OTP Login para WooCommerce hasta la 2.7 están afectadas. No se han reportado casos en versiones posteriores a la 2.8.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

admin-site-enhancements-pro

Admin and Site Enhancements (ASE) Pro <= 8.9.0 - Unauthenticated Remote Code Execution via PHP Code Injection via cfgroup[input] Repeater Row Key

HIGH PLUGIN

subscriptions-for-woocommerce

Subscriptions for WooCommerce <= 2.0.0 - Missing Authorization to Authenticated (Shop Manager+) Arbitrary Plugin Installation via wps_sfw_install_plugin_configuration AJAX Action

CRITICAL PLUGIN

excel-like-price-change-for-woocommerce-and-wp-e-commerce-light

Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light <= 2.4.37 - Missing Authorization to Unauthenticated Privilege Escalation via Admin Account Creation

CRITICAL PLUGIN

cost-calculator-builder-pro

Cost Calculator Builder PRO <= 4.0.3 - Unauthenticated Remote Code Execution via 'orderDetails' Parameter

HIGH PLUGIN

woocommerce-tm-extra-checkout-options-addon

Extra Checkout Options (addon for Extra Product Options & Add-Ons for WooCommerce) <= 2.3.2 - Missing Authorization to Authenticated (Subscriber+) Arbitrary File Upload in eco_save_settings

MEDIUM PLUGIN

mage-eventpress

Event Booking Manager for WooCommerce <= 5.3.7 - Missing Authorization to Authenticated (Contributor+) Site-Wide Payment Settings Modification via mep_save_payment_settings_modal AJAX Action

HIGH PLUGIN

woo-wholesale-pricing

Wholesale for WooCommerce <= 2.0.5 - Authenticated (Author+) Privilege Escalation via 'user_role_set' Parameter

MEDIUM PLUGIN

yookassa

ЮKassa для WooCommerce <= 2.16.1 - Authenticated (Subscriber+) Information Exposure

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto