CVE-2026-81543 in Abandoned Cart Pro Plugin
Riassunto
di VulDB • 05/09/2026
Il plugin Abandoned Cart Pro for WooCommerce per WordPress è vulnerabile a Privilege Escalation in tutte le versioni fino alla 10.7.1 inclusa. Ciò è dovuto all'assenza di controlli sui permessi (capability checks) e della verifica del nonce su diverse azioni AJAX, tra cui wcap_save_connector_settings, wcap_send_manual_email, wcap_abandoned_cart_info e wcap_change_manual_email_data. Questo consente agli attaccanti autenticati con accesso a livello di sottoscrittore o superiore di modificare le impostazioni del connettore SMTP per instradare le email di recupero dell'amministratore attraverso un server controllato dall'attaccante e intercettare i link di auto-login al fine di ottenere l'accesso amministrativo completo. La funzione di auto-login del plugin deve essere abilitata, il che corrisponde alla configurazione predefinita.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.