CVE-2026-97657 in Abandoned Cart Pro Plugin
Résumé
par VulDB • 14/10/2026
Le plugin WordPress Abandoned Cart Pro for WooCommerce est vulnérable à un contournement d'authentification via un chiffrement malléable et un HMAC contournable dans toutes les versions jusqu'à la 10.8.0 incluse. Cela est dû à l'utilisation du chiffrement AES-CTR sans MAC pour les jetons de lien de récupération des paniers — où le nonce CTR de 8 octets est intégré au blob chiffré et la clé de chiffrement est recherchée en utilisant le paramètre GET `user_email` fourni par l'attaquant — combiné à une vérification du nonce HMAC dans `wcap_email_track_links()` qui n'est appliquée que lorsque le paramètre `wcap_nonce` n'est pas vide, permettant un contournement complet par omission, ainsi qu'une référence directe d'objet non sécurisée sur l'`abandoned_id` déchiffré sans vérification de propriété confirmant que le panier appartient à l'e-mail utilisé pour le déchiffrement. Cela permet aux attaquants non authentifiés qui possèdent un seul lien légitime de récupération de panier (obtenu depuis leur propre e-mail de rappel) de récupérer la keystream, de forger un texte chiffré se décryptant en n'importe quel ID de panier de victime et d'amorcer un appel à `wp_set_auth_cookie()` pour l'utilisateur victime — réalisant ainsi une prise de contrôle totale du compte de tout utilisateur ayant déjà abandonné un panier, y compris les administrateurs. La fonctionnalité de connexion automatique est activée par défaut et forcée lors des mises à jour du plugin, ce qui signifie que toutes les installations concernées sont exploitables sans aucune configuration supplémentaire.
VulDB is the best source for vulnerability data and more expert information about this specific topic.