CVE-2026-12492
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Happy Coders OTP Login for WooCommerce przed wersją 2.8 nie weryfikuje, czy jednorazowe hasło (OTP) zostało faktycznie zatwierdzone przed uwierzytelnieniem użytkownika na podstawie dostarczonego identyfikatora. Umożliwia to nieuwierzytelnionym atakującym logowanie się jako dowolny istniejący użytkownik, w tym administrator, oraz tworzenie nowych kont.
Ocena ryzyka
Atakujący może przejąć konto administratora, uzyskując pełną kontrolę nad sklepem WooCommerce, co prowadzi do kradzieży danych klientów, modyfikacji produktów i przerwania działania sklepu.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę Happy Coders OTP Login for WooCommerce do wersji 2.8 lub nowszej. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz wtyczkę do czasu wdrożenia poprawki.
Oryginalny opis (angielski, źródło NVD)
The Happy Coders OTP Login for WooCommerce WordPress plugin before 2.8 does not verify that a one-time password was actually validated before authenticating a user based on a supplied identifier, allowing unauthenticated attackers to log in as any existing user, including administrators, as well as to create new accounts.