CVE-2026-97657 in Abandoned Cart Pro Plugin
Zusammenfassung
von VulDB • 14.10.2026
Das WordPress-Plugin „Abandoned Cart Pro for WooCommerce“ ist in allen Versionen bis einschließlich 10.8.0 anfällig für eine Authentifizierungs-Umgehung (Authentication Bypass) aufgrund manipulierbarer Verschlüsselung und eines umgehbaren HMAC. Dies liegt an der Verwendung von MAC-freier AES-CTR-Verschlüsselung für Cart-Recovery-Token, bei dem das 8-Byte lange CTR-Nonce im Chiffrattext-Blob enthalten ist und der Verschlüsselungs-Schlüssel unter Verwendung des vom Angreifer bereitgestellten GET-Parameters `user_email` abgerufen wird. Dies kombiniert sich mit einer HMAC-Nonce-Prüfung in `wcap_email_track_links()`, die nur dann erzwungen wird, wenn der Parameter `wcap_nonce` nicht leer ist, was eine vollständige Umgehung durch Unterlassung ermöglicht. Zudem besteht ein unsicherer direkter Objektverweis (Insecure Direct Object Reference) auf das entschlüsselte Feld `abandoned_id` ohne Eigentumsüberprüfung, die bestätigt, dass der Warenkorb zur für die Entschlüsselung verwendeten E-Mail-Adresse gehört. Dies ermöglicht es nicht authentifizierten Angreifern, die über einen einzigen legitimen Cart-Recovery-Link (z. B. aus ihrer eigenen Erinnerungs-E-Mail) verfügen, den Keystream wiederherzustellen, einen Chiffrattext zu fälschen, der sich in die Warenkorb-ID eines beliebigen Opfers entschlüsselt lässt, und einen Aufruf von `wp_set_auth_cookie()` für das Opfer-Benutzerkonto auszulösen. Dadurch wird eine vollständige Übernahme (Account Takeover) jedes Benutzers erreicht, der jemals einen Warenkorb aufgegeben hat, einschließlich Administratoren. Die Auto-Login-Funktion ist standardmäßig aktiviert und wird während Plugin-Aktualisierungen erzwungen aktiviert, was bedeutet, dass alle betroffenen Installationen ohne zusätzliche Konfiguration ausnutzbar sind.
If you want to get best quality of vulnerability data, you may have to visit VulDB.