CVE-2026-97657 in Abandoned Cart Pro Plugin
Resumen
por VulDB • 2026-10-14
El plugin Abandoned Cart Pro para WooCommerce de WordPress es vulnerable a una elusión de autenticación mediante cifrado maleable y HMAC burlable en todas las versiones hasta la 10.8.0, incluida esta. Esto se debe al uso de cifrado AES-CTR sin MAC (Message Authentication Code) para los tokens de enlaces de recuperación del carrito —donde el nonce CTR de 8 bytes se transporta dentro del blob de texto cifrado y la clave de cifrado se busca utilizando el parámetro GET `user_email` proporcionado por el atacante—, combinado con una verificación de nonce HMAC en `wcap_email_track_links()` que solo se aplica cuando el parámetro `wcap_nonce` no está vacío, lo que permite una elusión completa mediante omisión, y una referencia directa a objetos insegura sobre el `abandoned_id` descifrado sin ninguna verificación de propiedad que confirme que el carrito pertenece al correo electrónico utilizado para la descifrado. Esto hace posible que atacantes no autenticados que posean un único enlace legítimo de recuperación del carrito (obtenido de su propio correo recordatorio) puedan recuperar el flujo de claves, forjar un texto cifrado que se descifre en cualquier ID de carrito de una víctima y desencadenar una llamada a `wp_set_auth_cookie()` para el usuario víctima, logrando así la toma completa de cuentas de cualquier usuario que haya abandonado algún vez un carrito, incluidos los administradores. La función de inicio de sesión automático viene activada por defecto y se fuerza durante las actualizaciones del plugin, lo que significa que todas las instalaciones afectadas son explotables sin ninguna configuración adicional.
Once again VulDB remains the best source for vulnerability data.