Security For WooCommerce: acceso como cualquier usuario sin autenticación (CVE-2026-123695)
El plugin Security For WooCommerce para WordPress no restringe el acceso a varias de sus rutas de la API REST. Un visitante sin autenticar puede generar tokens de inicio de sesión para todos los usuarios, obtenerlos e iniciar sesión como cualquiera, incluidos los administradores. La fuente indica un CVSS de 9.8.
Revisado en Shield: no
Quién está afectado
Sitios WordPress con el plugin Security For WooCommerce en la versión 1.0.16 o anterior (inclusive).
Cómo comprobar
En el administrador de WordPress abre Plugins y busca Security For WooCommerce. Si la versión es 1.0.16 o menor, el sitio está afectado. Revisa también la lista de administradores y los inicios de sesión recientes por si hay actividad desconocida.
Cómo corregirlo
La fuente no indica una versión corregida. Verifica si hay una actualización del plugin. Mientras tanto, considera desactivarlo y cambiar las contraseñas de administrador si ves accesos sospechosos.
Qué comprueba Shield no se comprueba
Comprobado por Shield: no. Normalmente esto no se ve desde fuera o la comprobación aún no se ha añadido; reunimos estos casos y añadimos comprobaciones por lotes.
Conviene saber
La versión corregida y si la falla se explota activamente aún no se han divulgado. Fuente: NVD.
