Índice
Resumen ejecutivo
| CVE | Fabricante | Producto | Fecha de publicación | Severidad | CVSS | Puntuación de prioridad | Acción recomendada |
|---|---|---|---|---|---|---|---|
| CVE-2026-15014 | CozyVision1 | SMS Alert – SMS & OTP for WooCommerce, Order Notifications & Abandoned Cart Recovery | 28 de julio de 2026 | CRITICAL | 9.8 | 200 | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad afecta al proceso de registro del plugin SMS Alert – SMS & OTP for WooCommerce. El código processRegistration() utiliza una bandera de sesión $_SESSION['sa_mobile_verified'] que se establece en true después de cualquier validación OTP exitosa, pero no se enlaza al número de teléfono verificado. Esto permite que un atacante que controle un número de teléfono realice la verificación OTP y luego envíe una solicitud de registro con el número de teléfono de la víctima. El plugin, al detectar la bandera verdadera, llama a wp_set_auth_cookie() para la cuenta de la víctima, otorgando autenticación completa al atacante.
Productos y versiones vulnerables
| Fabricante | Producto | Versiones afectadas |
|---|---|---|
| CozyVision1 | SMS Alert – SMS & OTP for WooCommerce, Order Notifications & Abandoned Cart Recovery | Hasta la versión 3.9.7 (inclusive) |
Impacto y riesgo
Esta vulnerabilidad permite la toma de control total de cualquier cuenta de WordPress cuyo número de teléfono esté registrado y sea conocido o adivinable. Los atacantes pueden acceder a contenido restringido, modificar configuraciones, instalar malware y comprometer la integridad del sitio. El riesgo es especialmente alto en entornos de comercio electrónico, donde la información de clientes y transacciones está en juego.
Estado de explotación conocida
No publicado por las fuentes consultadas.
Indicadores de compromiso (IOC)
No publicado por las fuentes consultadas.
Cómo comprobar si estás afectado
Revisa la versión instalada del plugin SMS Alert – SMS & OTP for WooCommerce en tu panel de WordPress (Plugins → Activados). Si la versión es 3.9.7 o inferior, tu sitio está potencialmente vulnerable.
Mitigación y actualización
Actualiza el plugin a la última versión disponible publicada por CozyVision1. Si la actualización no está disponible, consulta el aviso oficial del fabricante para aplicar la mitigación recomendada.
Checklist para administradores
- ☐ Verificar la versión actual del plugin SMS Alert – SMS & OTP for WooCommerce.
- ☐ Descargar e instalar la última versión del plugin.
- ☐ Revisar los registros de autenticación para detectar intentos de registro con números de teléfono no verificados.
- ☐ Cambiar contraseñas de cuentas con números de teléfono sospechosos.
- ☐ Implementar autenticación de dos factores adicional.
- ☐ Realizar auditoría de seguridad en el sitio WordPress.
Preguntas frecuentes
- ¿Qué es el plugin SMS Alert – SMS & OTP for WooCommerce? Es un complemento de WordPress que permite enviar notificaciones SMS y OTP a los usuarios durante el proceso de compra y recuperación de carritos abandonados.
- ¿Cómo afecta esta vulnerabilidad a mi sitio? Permite a atacantes no autenticados obtener acceso completo a cuentas de WordPress mediante la verificación de números de teléfono controlados.
- ¿Existe una versión segura disponible? Sí, CozyVision1 ha publicado actualizaciones posteriores a la versión 3.9.7 que corrigen el problema.
- ¿Debo cambiar todas las contraseñas de usuarios? Se recomienda cambiar las contraseñas de cuentas que tengan números de teléfono registrados y que puedan haber sido comprometidos.
- ¿Puedo confiar en la actualización del plugin? La actualización oficial del fabricante incluye la corrección de la bandera de sesión no vinculada al número de teléfono.