Vulnerabilidad · crítica · CVSS 9.8
Fallo crítico en un plugin de WordPress deja cuentas abiertas tras el restablecimiento
Nivel B · Parchea esta semana – Al sprint
Quién está expuesto: Tiendas WooCommerce con el plugin de verificación por email afectado
Nivel B porque: Compromiso total O secretos expuestos O cadena de suministro
Alcance
Ataque
Daño
Corrección
En remoto, sin credenciales · Compromiso total
Lo esencial
- Una falla del plugin de verificación por email para WooCommerce en WordPress está identificada como CVE-2026-104014.
- La vulnerabilidad permite tomar el control de cuentas de usuarios que verificaron un código de recuperación sin completar de inmediato el cambio de contraseña.
- Según la fuente, las cuentas quedaron expuestas durante varios días.
Por qué importa
Si una tienda WooCommerce usa este plugin, sus cuentas de clientes y de administración podrían quedar vulnerables a secuestro después de un restablecimiento de contraseña.
La checklist detrás del nivel
Checklist · 3 de 10 con sí
| Sí | Afecta a equipos técnicos | Plugin de WooCommerce para tiendas en WordPress, que operan equipos técnicos y de TI del sector comercial. |
| No | Infraestructura básica | Es un plugin concreto de verificación por email, no software de infraestructura que casi todos los equipos operen. |
| No | Herramienta popular | El plugin es de nicho; WordPress es muy usado, pero el fallo está en un complemento específico. |
| No | Se está explotando | CiberSeguridad Latam informa de la alerta CVE-2026-104014 pero no menciona ataques observados. |
| No | Exploit público | CiberSeguridad Latam solo describe la alerta; no menciona código de explotación publicado. |
| Sí | En remoto, sin credenciales | CVSSCVE-2026-104014: CVSS 9.8 – por red, sin privilegios, sin interacción del usuario |
| Sí | Compromiso total | CVSSCVE-2026-104014: CVSS califica como alto el impacto en confidencialidad e integridad |
| No | Secretos expuestos | CiberSeguridad Latam dice que las cuentas quedaron expuestas, pero no que se robaran datos o credenciales. |
| No | Cadena de suministro | CiberSeguridad Latam describe un fallo en el plugin, no una distribución maliciosa de código. |
| No | Aún sin corrección | CiberSeguridad Latam no informa de si hay una versión corregida disponible. |
El registro oficial
De CVE.org, el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA, FIRST EPSS y la GitHub Advisory Database. Cuando responden un hecho de la checklist, pesan más que las notas.
CVE-2026-104014 ↗CVSS 9.8 critical AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Naimur Email OTP Verification for WooCommerce <= 2.1.0 - Unauthenticated Authentication Bypass to Account Takeover via Abandoned Password Reset Finalization
- Explotado
- No está en el catálogo de explotadas de CISA
- EPSS
- <1% de probabilidad de explotación en los próximos 30 días · más alta que el 54% de todos los CVE
- Debilidad
- CWE-287
Fuente
Falla crítica en plugin de WordPress deja cuentas abiertas días después del reset ↗ CiberSeguridad Latam · hace 3 h
Visto por primera vez · 1 fuente · La noticia completa · Cómo se deciden los niveles