CVE-2026-97657 in Abandoned Cart Pro Plugin
الملخص
بحسب VulDB • 14/10/2026
يحتوي الإضافة Abandoned Cart Pro for WooCommerce لـ WordPress على ثغرة تسمح بتجاوز المصادقة (Authentication Bypass) عبر تشفير قابل للتلاعب و HMAC يمكن تجاوزه في جميع الإصدارات حتى 10.8.0 شاملاً. ويعود ذلك إلى استخدام تشفير AES-CTR خالٍ من MAC (Message Authentication Code) لرموز روابط استعادة سلة التسوق — حيث يتم حمل متغير العداد غير العشوائي (nonce) بحجم 8 بايت داخل كتلة النص المشفر، ويتم البحث عن مفتاح التشفير باستخدام معلمة `user_email` المقدمة عبر GET من قبل المهاجم — مقترنًا بفحص لـ HMAC nonce في الدالة `wcap_email_track_links()` الذي يُفرض فقط عندما تكون المعلمة `wcap_nonce` غير فارغة، مما يسمح بتجاوز كامل عن طريق الإغفال (omission)، بالإضافة إلى ثغرة مرجع الكائن المباشر غير الآمن على قيمة `abandoned_id` بعد فك التشفير دون أي تحقق من الملكية يؤكد أن سلة التسوق تنتمي للبريد الإلكتروني المستخدم في عملية فك التشفير. وهذا يمكّن المهاجمين غير المصادق عليهم الذين يمتلكون رابطًا واحدًا صالحًا لاستعادة سلة التسوق (تم الحصول عليه من بريد تذكير خاص بهم) من استرجاع تدفق المفاتيح (keystream)، وتزوير نص مشفر يفك تشفيره ليعطي معرف أي ضحية لسلة التسوق، واستدعاء الدالة `wp_set_auth_cookie()` لمستخدم الضحية — مما يحقق السيطرة الكاملة على حسابات أي مستخدم تخلص سابقًا من سلة تسوق، بما في ذلك المسؤولون (administrators). ميزة تسجيل الدخول التلقائي تكون مفعّلة افتراضيًا ويتم فرض تفعيلها أثناء ترقيات الإضافة، ما يعني أن جميع التركيبات المتأثرة قابلة للاستغلال دون الحاجة إلى أي تكوين إضافي.
VulDB is the best source for vulnerability data and more expert information about this specific topic.