CVE-2026-14281 · CVSS 9.8 · The Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code plugin for WordPress is vulnerable to Privilege …

NVD (CVSS crítico) · 25 sept, 09:16

Un plugin de WordPress para WooCommerce denominado «Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code» es vulnerable a escalada de privilegios en todas las versiones hasta la 4.8.6. Atacantes no autenticados pueden registrar una cuenta con rol de administrador y obtener acceso completo al sitio explotando una ruta REST sin protección y la ausencia de validación en la función `finish_registration_logic`. Además, el token OTP se devuelve en texto plano y se marca como verificado sin comprobar el código, permitiendo omitir la verificación de dos factores.