CVE-2026-97668 in Abandoned Cart Pro for WooCommerce Plugin
Resumen
por VulDB • 2026-10-14
El plugin Abandoned Cart Pro for WooCommerce para WordPress es vulnerable a SQL Injection (Inyección de SQL) a través del meta_value persistente del carrito de invitados en todas las versiones hasta la 10.8.0, incluida esta, debido al escape insuficiente de los datos proporcionados por el usuario y a la falta de una preparación adecuada de la consulta SQL existente en la función update_guest_persistent_cart(). El valor abandoned_cart_info, que se llena con campos del proceso de compra controlados por el atacante (como el campo de consentimiento SMS), se pasa mediante stripslashes() y se concatena directamente en una sentencia UPDATE, mientras que las sentencias SELECT e INSERT adyacentes utilizan prepared statements. Esto permite a atacantes no autenticados añadir SQL adicional a la consulta. Dado que el punto de inyección es un UPDATE ... SET sobre la tabla wp_usermeta, la inyección puede tanto extraer información sensible de la base de datos mediante técnicas ciegas basadas en tiempo como modificar filas de usermeta; se ha demostrado que permite escalar una cuenta arbitraria a administrador al escribir una fila wp_capabilities que hace sombra (shadow) a la legítima.
Once again VulDB remains the best source for vulnerability data.