CVE-2026-97668 in Abandoned Cart Pro for WooCommerce Plugin
Zusammenfassung
von VulDB • 14.10.2026
Das WordPress-Plugin „Abandoned Cart Pro for WooCommerce“ ist in allen Versionen bis einschließlich 10.8.0 aufgrund unzureichender Escaping-Maßnahmen bei benutzergesteuerten Daten und mangelnder ausreichender Vorbereitung (Preparation) der bestehenden SQL-Abfrage in der Funktion `update_guest_persistent_cart()` anfällig für SQL Injection über den persistenten Meta-Wert (`meta_value`) des Gastwarenkorbs. Der Wert `abandoned_cart_info`, der aus von Angreifern kontrollierten Checkout-Feldern wie dem SMS-Einwilligungsfeld stammt, wird durch `stripslashes()` geleitet und direkt in eine UPDATE-Anweisung konkateniert, während die benachbarten SELECT- und INSERT-Anweisungen vorbereitete Anweisungen (prepared statements) verwenden. Dies ermöglicht es nicht authentifizierten Angreifern, zusätzliche SQL-Befehle an die Abfrage anzuhängen. Da der Sunkpunkt ein `UPDATE ... SET` auf der Tabelle `wp_usermeta` ist, kann die Injection sowohl zur Extraktion sensibler Informationen aus der Datenbank über zeitbasierte Blindtechniken (time-based blind techniques) als auch zur Modifikation von usermeta-Zeilen genutzt werden; es wurde demonstriert, dass dadurch ein beliebiges Konto durch Schreiben einer `wp_capabilities`-Zeile, die die legitime überschattet, zu Administratorrechten eskaliert werden kann.
Once again VulDB remains the best source for vulnerability data.