افزونه Ecommerce Affiliate برای پلتفرم WordPress (نسخه‌های تا 1.0.0) دارای یک نقص امنیتی جدی است که می‌تواند منجر به تسخیر کامل حساب‌های کاربری شود.
این آسیب‌پذیری به دلیل مدیریت نادرست فرآیند صدور و تأیید رمز عبور یک‌بار مصرف (OTP) رخ می‌دهد. افزونه مذکور، فرآیند صدور و تأیید OTP را تنها به مالک اصلی حساب محدود نمی‌کند و همچنین هیچ محدودیتی برای تعداد دفعات تلاش جهت تأیید رمز (Rate Limiting) در نظر نمی‌گیرد.
این ضعف به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated)، هر حساب کاربری را، از جمله حساب‌های با سطح دسترسی Administrator، تحت کنترل خود درآورند. این نوع حمله که به آن Account Takeover (ATO) گفته می‌شود، می‌تواند منجر به دسترسی کامل به تنظیمات سایت و داده‌های حساس شود.
