CVE-2026-106028 Creación arbitraria de cupones en ActiveTrail for WooCommerce hasta 1.2.6

Qué es CVE-2026-106028

El plugin ActiveTrail for WooCommerce para WordPress, hasta 1.2.6, no realiza ninguna verificación de autorización antes de crear cupones de WooCommerce. Esto permite a atacantes no autenticados crear cupones arbitrarios, incluidos cupones de 100% de descuento y de envío gratis.

Productos y versiones afectadas

• ActiveTrail for WooCommerce

  • hasta 1.2.6

Qué hacer

1. Verificá si usás ActiveTrail for WooCommerce y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The ActiveTrail for WooCommerce WordPress plugin through 1.2.6 does not perform any authorization check before creating WooCommerce coupons, allowing unauthenticated attackers to create arbitrary coupons, including 100%-off and free-shipping coupons.

Referencias

• wpscan.com/vulnerability/0865bdd3-8ce9-4a3b-a174-07076dee8565/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION

Historial de la alerta

1. 19 OCT · 04:13VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.