CVE-2026-106015 Toma de control de cuentas no autenticada en Ecommerce Affiliate
El plugin Ecommerce Affiliate hasta 1.0.0 no restringe la emisión y verificación de contraseñas de un solo uso al propietario legítimo de la cuenta ni limita los intentos de verificación. Atacantes no autenticados pueden tomar el control de cualquier cuenta, incluidos administradores. Corrige en 1.0.1.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 13
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Ecommerce Affiliate
hasta 1.0.0
Qué hacer
- Verificá si usás Ecommerce Affiliate y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
The Ecommerce Affiliate WordPress plugin through 1.0.0 does not restrict one-time password issuance and verification to the legitimate account owner, nor limit verification attempts, allowing unauthenticated attackers to take over any account, including administrators.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.