CVE-2026-97668
KrytyczneCVSS 9.8Streszczenie
Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na wstrzyknięcie SQL przez trwałą wartość meta_value koszyka gościa. Wynika to z niewystarczającego escapowania danych użytkownika i braku przygotowania zapytania SQL w funkcji update_guest_persistent_cart(). Wartość abandoned_cart_info, pochodząca z pól kontrolowanych przez atakującego, jest konkatenowana bezpośrednio do instrukcji UPDATE. Umożliwia to nieuwierzytelnionym atakującym dołączanie dodatkowego SQL do zapytania, co może prowadzić do ekstrakcji danych i eskalacji uprawnień.
Ocena ryzyka
Atakujący może wykorzystać wstrzyknięcie SQL do kradzieży wrażliwych danych z bazy danych oraz eskalacji uprawnień, np. do konta administratora.
Rekomendacja
Zaktualizuj wtyczkę Abandoned Cart Pro do najnowszej wersji z poprawką. Dodatkowo ogranicz dostęp do pól formularza zamówienia i monitoruj zapytania SQL.
Inne podatności w Abandoned Cart Pro for WooCommerce
Zobacz wszystkie- CVE-2026-102251Wysokie
Wtyczka Abandoned Cart Pro for WooCommerce dla WordPressa w wersjach do 10.8.0 włącznie jest podatna na ogólną iniekcję SQL poprzez parametr 'validate'. Z powodu niewystarczającego escapowania parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania zapytania SQL nieuwierzytelniony atakujący może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co pozwala na wyodrębnienie poufnych informacji z bazy danych. AES-CTR jest podatnym na manipulację szyfrem strumieniowym, więc atakujący, który uzyska jeden prawidłowy token poprzez porzucenie koszyka z kontrolowanym adresem e-mail, może odzyskać strumień klucza i sfałszować szyfrogram przenoszący dowolny SQL. Sprawdzenie HMAC dodane w wersji 10.4.1 jest wymuszane tylko gdy parametr wcap_nonce jest obecny, więc pominięcie tego parametru całkowicie je pomija.
- CVE-2026-97657Krytyczne
Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na ominięcie uwierzytelniania przez plastyczne szyfrowanie i możliwy do ominięcia HMAC. Wynika to z użycia szyfrowania AES-CTR bez MAC dla tokenów linków odzyskiwania koszyka, gdzie nonce jest przenoszony w ciphertext, a klucz jest wyszukiwany na podstawie parametru user_email, oraz z warunkowego sprawdzania HMAC, które można ominąć przez pominięcie parametru wcap_nonce. Umożliwia to nieuwierzytelnionym atakującym, posiadającym jeden prawidłowy link, sfałszowanie ciphertextu i przejęcie konta dowolnego użytkownika, który kiedykolwiek porzucił koszyk, w tym administratora.
- CVE-2026-66682Krytyczne
Podatność umożliwiająca nieuwierzytelnioną eskalację uprawnień w wtyczce Abandoned Cart Pro for WooCommerce. Dotyczy wersji do 10.4.0 włącznie.
- CVE-2026-81543Wysokie
Wtyczka Abandoned Cart Pro for WooCommerce dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 10.7.1 włącznie. Wynika to z braku kontroli uprawnień i weryfikacji nonce w wielu akcjach AJAX, w tym wcap_save_connector_settings, wcap_send_manual_email, wcap_abandoned_cart_info i wcap_change_manual_email_data. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej modyfikację ustawień łącznika SMTP w celu kierowania administracyjnych wiadomości e-mail przez serwer kontrolowany przez atakującego i przechwytywanie linków do automatycznego logowania w celu uzyskania pełnego dostępu administracyjnego. Funkcja automatycznego logowania musi być włączona, co jest domyślną konfiguracją.
- CVE-2026-56010Wysokie
Podatność wtyczki Abandoned Cart Pro dla WooCommerce w wersji 10.4.0 i niższych umożliwia użytkownikom z rolą subskrybenta eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do funkcji administracyjnych.
Oryginalny opis (angielski, źródło NVD)
The Abandoned Cart Pro for WooCommerce plugin for WordPress is vulnerable to SQL Injection via the guest cart persistent meta_value in all versions up to, and including, 10.8.0 due to insufficient escaping on user supplied data and lack of sufficient preparation on the existing SQL query in the update_guest_persistent_cart() function. The abandoned_cart_info value, populated from attacker-controlled checkout fields such as the SMS consent field, is passed through stripslashes() and concatenated directly into an UPDATE statement while the adjacent SELECT and INSERT use prepared statements. This makes it possible for unauthenticated attackers to append additional SQL to the query. Because the sink is an UPDATE ... SET on the wp_usermeta table, the injection can both extract sensitive information from the database via time-based blind techniques and modify usermeta rows; it has been demonstrated to escalate an arbitrary account to administrator by writing a wp_capabilities row that shadows the legitimate one.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS