CVE-2026-97657
KrytyczneCVSS 9.8Streszczenie
Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na ominięcie uwierzytelniania przez plastyczne szyfrowanie i możliwy do ominięcia HMAC. Wynika to z użycia szyfrowania AES-CTR bez MAC dla tokenów linków odzyskiwania koszyka, gdzie nonce jest przenoszony w ciphertext, a klucz jest wyszukiwany na podstawie parametru user_email, oraz z warunkowego sprawdzania HMAC, które można ominąć przez pominięcie parametru wcap_nonce. Umożliwia to nieuwierzytelnionym atakującym, posiadającym jeden prawidłowy link, sfałszowanie ciphertextu i przejęcie konta dowolnego użytkownika, który kiedykolwiek porzucił koszyk, w tym administratora.
Ocena ryzyka
Atakujący może przejąć konto dowolnego użytkownika, w tym administratora, co prowadzi do pełnej kompromitacji witryny.
Rekomendacja
Zaktualizuj wtyczkę Abandoned Cart Pro do najnowszej wersji z poprawką. Wyłącz funkcję automatycznego logowania, jeśli to możliwe, i monitoruj podejrzane aktywności.
Inne podatności w Abandoned Cart Pro for WooCommerce
Zobacz wszystkie- CVE-2026-102251Wysokie
Wtyczka Abandoned Cart Pro for WooCommerce dla WordPressa w wersjach do 10.8.0 włącznie jest podatna na ogólną iniekcję SQL poprzez parametr 'validate'. Z powodu niewystarczającego escapowania parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania zapytania SQL nieuwierzytelniony atakujący może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co pozwala na wyodrębnienie poufnych informacji z bazy danych. AES-CTR jest podatnym na manipulację szyfrem strumieniowym, więc atakujący, który uzyska jeden prawidłowy token poprzez porzucenie koszyka z kontrolowanym adresem e-mail, może odzyskać strumień klucza i sfałszować szyfrogram przenoszący dowolny SQL. Sprawdzenie HMAC dodane w wersji 10.4.1 jest wymuszane tylko gdy parametr wcap_nonce jest obecny, więc pominięcie tego parametru całkowicie je pomija.
- CVE-2026-97668Krytyczne
Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na wstrzyknięcie SQL przez trwałą wartość meta_value koszyka gościa. Wynika to z niewystarczającego escapowania danych użytkownika i braku przygotowania zapytania SQL w funkcji update_guest_persistent_cart(). Wartość abandoned_cart_info, pochodząca z pól kontrolowanych przez atakującego, jest konkatenowana bezpośrednio do instrukcji UPDATE. Umożliwia to nieuwierzytelnionym atakującym dołączanie dodatkowego SQL do zapytania, co może prowadzić do ekstrakcji danych i eskalacji uprawnień.
- CVE-2026-66682Krytyczne
Podatność umożliwiająca nieuwierzytelnioną eskalację uprawnień w wtyczce Abandoned Cart Pro for WooCommerce. Dotyczy wersji do 10.4.0 włącznie.
- CVE-2026-81543Wysokie
Wtyczka Abandoned Cart Pro for WooCommerce dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 10.7.1 włącznie. Wynika to z braku kontroli uprawnień i weryfikacji nonce w wielu akcjach AJAX, w tym wcap_save_connector_settings, wcap_send_manual_email, wcap_abandoned_cart_info i wcap_change_manual_email_data. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej modyfikację ustawień łącznika SMTP w celu kierowania administracyjnych wiadomości e-mail przez serwer kontrolowany przez atakującego i przechwytywanie linków do automatycznego logowania w celu uzyskania pełnego dostępu administracyjnego. Funkcja automatycznego logowania musi być włączona, co jest domyślną konfiguracją.
- CVE-2026-56010Wysokie
Podatność wtyczki Abandoned Cart Pro dla WooCommerce w wersji 10.4.0 i niższych umożliwia użytkownikom z rolą subskrybenta eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do funkcji administracyjnych.
Oryginalny opis (angielski, źródło NVD)
The Abandoned Cart Pro for WooCommerce plugin for WordPress is vulnerable to Authentication Bypass via Malleable Encryption and Bypassable HMAC in all versions up to, and including, 10.8.0. This is due to the use of MAC-free AES-CTR encryption for cart-recovery link tokens — where the 8-byte CTR nonce is carried inside the ciphertext blob and the encryption key is looked up using the attacker-supplied `user_email` GET parameter — combined with an HMAC nonce check in `wcap_email_track_links()` that is only enforced when the `wcap_nonce` parameter is non-empty, allowing complete bypass by omission, and an insecure direct object reference on the decrypted `abandoned_id` with no ownership verification confirming the cart belongs to the email used for decryption. This makes it possible for unauthenticated attackers who possess a single legitimate cart-recovery link (obtained from their own reminder email) to recover the keystream, forge a ciphertext that decrypts to any victim's cart ID, and trigger a call to `wp_set_auth_cookie()` for the victim user — achieving full account takeover of any user who has ever abandoned a cart, including administrators. The auto-login feature defaults to enabled and is forced on during plugin upgrades, meaning all affected installations are exploitable without any additional configuration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS