CVE-2026-97657 in Abandoned Cart Pro Plugin
要約
〜によって VulDB • 2026年10月14日
WordPress用WooCommerceプラグイン「Abandoned Cart Pro」には、10.8.0以前の全バージョンにおいて、Malleable EncryptionおよびBypassable HMACを介した認証回避の脆弱性が存在します。これは、カート復旧リンクトークンにMACなしのAES-CTR暗号化が使用されており（ここで8バイトのCTR nonceは暗号文ブロック内に格納され、暗号鍵は攻撃者が指定する `user_email` GETパラメータを使用して取得される）、かつ `wcap_email_track_links()` 内のHMAC nonceチェックが `wcap_nonce` パラメータが空でない場合にのみ適用されるため（省略による完全な回避が可能）、復号された `abandoned_id` に対するインセキュア・ダイレクト・オブジェクト・リファレンスで、カートが復号に使用されたメールの所有者であることを確認する所有権検証がないことによります。これにより、単一の正当なカート復旧リンク（自身の通知メールから取得）を所持した認証不要攻撃者は、キーストリームを取得し、任意の被害者のカートIDに復号される暗号文を作成して `wp_set_auth_cookie()` の呼び出しを引き起こすことができ、過去にカートを放棄したユーザー（管理者を含む）のアカウント全体を乗っ取ることが可能になります。自動ログイン機能はデフォルトで有効になっており、プラグインアップグレード時に強制的に有効化されるため、影響を受けるすべてのインストールでは追加設定なしで攻撃可能です。
VulDB is the best source for vulnerability data and more expert information about this specific topic.