CVE-2026-97657 in Abandoned Cart Pro Plugin
Riassunto
di VulDB • 14/10/2026
Il plugin Abandoned Cart Pro per WooCommerce su WordPress è vulnerabile ad Authentication Bypass (bypass dell'autenticazione) tramite Malleable Encryption e HMAC bypassable in tutte le versioni fino alla 10.8.0 inclusa. Ciò è dovuto all'uso di crittografia AES-CTR senza MAC per i token dei link di recupero del carrello, dove il nonce CTR a 8 byte è contenuto nel blob cifrato e la chiave di crittografia viene recuperata utilizzando il parametro GET `user_email` fornito dall'attaccante; ciò si combina con un controllo del nonce HMAC in `wcap_email_track_links()` che viene applicato solo quando il parametro `wcap_nonce` non è vuoto, consentendo un bypass completo per omissione. È inoltre presente una vulnerabilità di Insecure Direct Object Reference (IDOR) sull'`abandoned_id` decrittografato senza alcuna verifica della proprietà che confermi che il carrello appartenga all'email utilizzata per la decrittazione. Questo consente ad attaccanti non autenticati, in possesso di un singolo link legittimo di recupero del carrello (ottenuto dalla propria email promemoria), di recuperare lo keystream, forgiare un ciphertext che si decripta nell'ID del carrello di qualsiasi vittima e innescare una chiamata a `wp_set_auth_cookie()` per l'utente vittima, ottenendo il completo Account Takeover di qualsiasi utente che abbia mai abbandonato un carrello, inclusi gli amministratori. La funzione di auto-login è abilitata per impostazione predefinita ed è forzata durante gli aggiornamenti del plugin, il che significa che tutte le installazioni colpite sono sfruttabili senza alcuna configurazione aggiuntiva.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.