CVE-2026-102251
WysokieCVSS 7.5Streszczenie
Wtyczka Abandoned Cart Pro for WooCommerce dla WordPressa w wersjach do 10.8.0 włącznie jest podatna na ogólną iniekcję SQL poprzez parametr 'validate'. Z powodu niewystarczającego escapowania parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania zapytania SQL nieuwierzytelniony atakujący może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co pozwala na wyodrębnienie poufnych informacji z bazy danych. AES-CTR jest podatnym na manipulację szyfrem strumieniowym, więc atakujący, który uzyska jeden prawidłowy token poprzez porzucenie koszyka z kontrolowanym adresem e-mail, może odzyskać strumień klucza i sfałszować szyfrogram przenoszący dowolny SQL. Sprawdzenie HMAC dodane w wersji 10.4.1 jest wymuszane tylko gdy parametr wcap_nonce jest obecny, więc pominięcie tego parametru całkowicie je pomija.
Ocena ryzyka
Atakujący może wyodrębnić poufne dane z bazy danych, w tym dane klientów, zamówień lub poświadczenia. Ryzyko jest wysokie, ponieważ wykorzystanie nie wymaga uwierzytelnienia i może prowadzić do wycieku danych.
Rekomendacja
Zaktualizuj wtyczkę Abandoned Cart Pro for WooCommerce do wersji nowszej niż 10.8.0, gdy tylko będzie dostępna. Do tego czasu rozważ ograniczenie dostępu do funkcji porzucania koszyka lub wyłączenie wtyczki.
Inne podatności w Abandoned Cart Pro for WooCommerce
Zobacz wszystkie- CVE-2026-97668Krytyczne
Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na wstrzyknięcie SQL przez trwałą wartość meta_value koszyka gościa. Wynika to z niewystarczającego escapowania danych użytkownika i braku przygotowania zapytania SQL w funkcji update_guest_persistent_cart(). Wartość abandoned_cart_info, pochodząca z pól kontrolowanych przez atakującego, jest konkatenowana bezpośrednio do instrukcji UPDATE. Umożliwia to nieuwierzytelnionym atakującym dołączanie dodatkowego SQL do zapytania, co może prowadzić do ekstrakcji danych i eskalacji uprawnień.
- CVE-2026-97657Krytyczne
Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na ominięcie uwierzytelniania przez plastyczne szyfrowanie i możliwy do ominięcia HMAC. Wynika to z użycia szyfrowania AES-CTR bez MAC dla tokenów linków odzyskiwania koszyka, gdzie nonce jest przenoszony w ciphertext, a klucz jest wyszukiwany na podstawie parametru user_email, oraz z warunkowego sprawdzania HMAC, które można ominąć przez pominięcie parametru wcap_nonce. Umożliwia to nieuwierzytelnionym atakującym, posiadającym jeden prawidłowy link, sfałszowanie ciphertextu i przejęcie konta dowolnego użytkownika, który kiedykolwiek porzucił koszyk, w tym administratora.
- CVE-2026-66682Krytyczne
Podatność umożliwiająca nieuwierzytelnioną eskalację uprawnień w wtyczce Abandoned Cart Pro for WooCommerce. Dotyczy wersji do 10.4.0 włącznie.
- CVE-2026-81543Wysokie
Wtyczka Abandoned Cart Pro for WooCommerce dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 10.7.1 włącznie. Wynika to z braku kontroli uprawnień i weryfikacji nonce w wielu akcjach AJAX, w tym wcap_save_connector_settings, wcap_send_manual_email, wcap_abandoned_cart_info i wcap_change_manual_email_data. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej modyfikację ustawień łącznika SMTP w celu kierowania administracyjnych wiadomości e-mail przez serwer kontrolowany przez atakującego i przechwytywanie linków do automatycznego logowania w celu uzyskania pełnego dostępu administracyjnego. Funkcja automatycznego logowania musi być włączona, co jest domyślną konfiguracją.
- CVE-2026-56010Wysokie
Podatność wtyczki Abandoned Cart Pro dla WooCommerce w wersji 10.4.0 i niższych umożliwia użytkownikom z rolą subskrybenta eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do funkcji administracyjnych.
Oryginalny opis (angielski, źródło NVD)
The Abandoned Cart Pro for WooCommerce plugin for WordPress is vulnerable to generic SQL Injection via the 'validate' parameter in all versions up to, and including, 10.8.0 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. AES-CTR is a malleable stream cipher, so an attacker who obtains one legitimate token by abandoning a cart with an email address they control can recover the keystream and forge a ciphertext carrying arbitrary SQL. The HMAC check added in 10.4.1 is enforced only when the wcap_nonce parameter is present, so omitting the parameter skips it entirely.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS