Fuente base de datos: Wordfence Intelligence

Social Login, Passkeys, Magic Link & Email OTP < 1.4.1 - Unauthenticated Account Takeover via OTP Brute Force en Ventraconnect Social Login

PLUGIN CRITICAL CVE-2026-13142

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Ventraconnect Social Login, que permite la toma de control de cuentas no autenticadas a través de un ataque de fuerza bruta en el sistema de OTP. Esta falla, con un CVSS de 9.8, puede comprometer gravemente la seguridad de los usuarios y la integridad del sistema operativo.

Contexto técnico

La vulnerabilidad se encuentra en la versión anterior a 1.4.1 del plugin Ventraconnect Social Login. El fallo permite a un atacante realizar intentos de fuerza bruta para obtener códigos OTP, facilitando el acceso no autorizado a cuentas de usuario. La superficie de ataque se centra en la funcionalidad de autenticación basada en OTP.

Impacto potencial

El impacto de esta vulnerabilidad es significativo, ya que permite a los atacantes acceder a cuentas de usuarios sin autenticación adecuada. Esto puede resultar en la exposición de datos sensibles y en la pérdida de confianza de los usuarios, afectando la reputación y las operaciones del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad intentando repetidamente obtener códigos OTP válidos mediante ataques de fuerza bruta, lo que puede llevar a un acceso no autorizado a cuentas de usuario.

Mitigación recomendada

Actualizar el plugin Ventraconnect Social Login a la versión 1.4.1 o superior. Implementar medidas de seguridad adicionales, como límites en los intentos de inicio de sesión y autenticación multifactor. Revisar los registros de acceso para identificar intentos sospechosos de acceso no autorizado.

Señales de detección

Señales de riesgo incluyen múltiples intentos fallidos de inicio de sesión en un corto periodo y registros de acceso que muestran patrones inusuales en el uso de OTP.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.4.1 del plugin Ventraconnect Social Login. No se han confirmado otros escenarios de vulnerabilidad en versiones posteriores.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

admin-site-enhancements-pro

Admin and Site Enhancements (ASE) Pro <= 8.9.0 - Unauthenticated Remote Code Execution via PHP Code Injection via cfgroup[input] Repeater Row Key

HIGH PLUGIN

subscriptions-for-woocommerce

Subscriptions for WooCommerce <= 2.0.0 - Missing Authorization to Authenticated (Shop Manager+) Arbitrary Plugin Installation via wps_sfw_install_plugin_configuration AJAX Action

CRITICAL PLUGIN

excel-like-price-change-for-woocommerce-and-wp-e-commerce-light

Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light <= 2.4.37 - Missing Authorization to Unauthenticated Privilege Escalation via Admin Account Creation

CRITICAL PLUGIN

cost-calculator-builder-pro

Cost Calculator Builder PRO <= 4.0.3 - Unauthenticated Remote Code Execution via 'orderDetails' Parameter

HIGH PLUGIN

woocommerce-tm-extra-checkout-options-addon

Extra Checkout Options (addon for Extra Product Options & Add-Ons for WooCommerce) <= 2.3.2 - Missing Authorization to Authenticated (Subscriber+) Arbitrary File Upload in eco_save_settings

MEDIUM PLUGIN

mage-eventpress

Event Booking Manager for WooCommerce <= 5.3.7 - Missing Authorization to Authenticated (Contributor+) Site-Wide Payment Settings Modification via mep_save_payment_settings_modal AJAX Action

HIGH PLUGIN

woo-wholesale-pricing

Wholesale for WooCommerce <= 2.0.5 - Authenticated (Author+) Privilege Escalation via 'user_role_set' Parameter

MEDIUM PLUGIN

yookassa

ЮKassa для WooCommerce <= 2.16.1 - Authenticated (Subscriber+) Information Exposure

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto