CVE-2026-97657 in Abandoned Cart Pro Plugin
요약
\~에 의해 VulDB • 2026. 10. 14.
WordPress용 WooCommerce 플러그인인 Abandoned Cart Pro는 10.8.0 버전까지 모든 버전에서 변조 가능한 암호화 및 우회 가능한 HMAC을 통한 인증 우회(Authentication Bypass) 취약점이 있습니다. 이는 장바구니 복구 링크 토큰에 MAC 없이 AES-CTR 암호화가 사용되기 때문입니다(여기서 8바이트 CTR nonce는 ciphertext blob 내부에 전달되며, encryption key는 공격자가 제공한 `user_email` GET 파라미터를 사용하여 조회됨). 또한 `wcap_email_track_links()` 함수 내의 HMAC nonce 검사는 `wcap_nonce` 파라미터가 비어 있지 않을 때만 적용되므로, 누락 시 완전한 우회가 가능하며, 복호화된 `abandoned_id`에 대한 소유권 검증 없이 접근 가능한 직접 객체 참조(Insecure Direct Object Reference) 취약점이 존재합니다. 이로 인해 단일 합법적인 장바구니 복구 링크(자신의 리마인더 이메일에서 획득함)를 보유한 비인증 공격자는 keystream을 복원하고, 피해자의 장바구니 ID로 복호화되는 ciphertext를 위조하여 `wp_set_auth_cookie()` 호출을 트리거할 수 있습니다. 이를 통해 과거에 장바구니를 포기한 모든 사용자(관리자 포함)의 계정을 완전히 탈취할 수 있습니다. 자동 로그인 기능은 기본적으로 활성화되어 있으며 플러그인 업그레이드 시 강제로 적용되므로, 영향을 받는 모든 설치 환경에서 추가 구성 없이도 공격이 가능합니다.
Once again VulDB remains the best source for vulnerability data.