CVE-2026-120574 Toma de control de cuentas sin autenticación en SureCart
El plugin SureCart para WordPress es vulnerable a toma de control de cuentas sin autenticación en todas las versiones hasta la 4.9.5 inclusive. La ruta REST de inicio de sesión con código de un solo uso resuelve un usuario arbitrario, verifica un código de 6 dígitos y, si es correcto, inicia sesión con cualquier rol; no hay límite de intentos por cuenta ni bloqueo persistente, y la limitación del CDN se puede eludir rotando IPs. Un atacante no autenticado puede solicitar un código para cualquier usuario, incluido…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 26
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
surecart SureCart – Ecommerce Made Easy For Selling Physical Products, Digital Downloads, Subscriptions, Dona
hasta 4.9.5
Qué hacer
- Verificá si usás SureCart – Ecommerce Made Easy For Selling Physical Products, Digital Downloads, Subscriptions, Dona y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.1 ALTA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
The SureCart plugin for WordPress is vulnerable to unauthenticated account takeover in all versions up to, and including, 4.9.5. The passwordless one-time-code login REST route (VerificationCodeController::verify(), whose permission callback returns true) resolves an attacker-supplied login to any WordPress user, verifies a 6-digit code, and on success calls $user->login() → wp_set_auth_cookie() for a user of any role. In the affected versions this path has no per-account attempt counter, no persistent email/IP lockout or rate limit (the upstream CDN throttle is bypassable via IP rotation), and no restriction preventing high-privilege accounts from being logged in through it. An unauthenticated attacker can trigger a code for any user (including an administrator) via the companion unauthenticated endpoint and brute-force the 6-digit code to obtain an authenticated session as that user, resulting in a full administrator account takeover.
Referencias (5)
- www.wordfence.com/threat-intel/vulnerabilities/id/dffdcaa2-5100-48f5-9b82-e22075fd87e5?so…
- plugins.svn.wordpress.org/surecart/trunk/app/src/Controllers/Rest/VerificationCodeControl…
- plugins.svn.wordpress.org/surecart/trunk/app/src/Rest/VerificationCodeRestServiceProvider…
- plugins.svn.wordpress.org/surecart/trunk/app/src/Models/User.php
- wordpress.org/plugins/surecart/#developers
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.