CVE-2026-97668 in Abandoned Cart Pro for WooCommerce Plugin
要約
〜によって VulDB • 2026年10月14日
WordPress用プラグイン「Abandoned Cart Pro for WooCommerce」には、10.8.0およびそれ以前の全バージョンにおいてSQLインジェクションの脆弱性が存在します。これは、update_guest_persistent_cart()関数内でユーザー入力のエスケープが不十分であり、既存のSQLクエリに対する適切な準備（prepared statement）が行われていないためです。攻撃者が制御できるチェックアウトフィールド（SMS同意欄など）から設定されるabandoned_cart_info値はstripslashes()を通じますが、UPDATE文に直接連結されます。一方、隣接するSELECTおよびINSERTでは準備済みステートメントが使用されています。これにより、認証不要の攻撃者はクエリに対して追加のSQLを付加することが可能になります。シンク（sink）はwp_usermetaテーブルに対する「UPDATE ... SET」であるため、インジェクションによって時間ベースのブラインド手法を用いてデータベースから機密情報を抽出したり、usermeta行を変更したりできます。実際に、正当なレコードを上書きするwp_capabilities行を書き込むことで、任意のアカウントを管理者権限に昇格させることが実証されています。
Once again VulDB remains the best source for vulnerability data.