CVE-2026-97657 in Abandoned Cart Pro Plugin
Sumário
de VulDB • 14/10/2026
O plugin Abandoned Cart Pro para WooCommerce do WordPress é vulnerável à Bypass de Autenticação via Criptografia Malleable e HMAC contornável em todas as versões até a 10.8.0, inclusive. Isso ocorre devido ao uso da criptografia AES-CTR sem MAC (MAC-free) para tokens de links de recuperação de carrinho — onde o nonce CTR de 8 bytes é transportado dentro do blob de ciphertext e a chave de criptografia é consultada usando o parâmetro GET `user_email` fornecido pelo atacante — combinado com uma verificação de nonce HMAC em `wcap_email_track_links()` que só é aplicada quando o parâmetro `wcap_nonce` não está vazio, permitindo um bypass completo por omissão, e uma referência direta a objeto insegura no `abandoned_id` descriptografado sem nenhuma verificação de propriedade para confirmar se o carrinho pertence ao email usado na descriptografia. Isso permite que atacantes não autenticados que possuam um único link legítimo de recuperação de carrinho (obtido do seu próprio e-mail de lembrete) recuperem a keystream, forjem um ciphertext que seja descriptografado para qualquer ID de carrinho da vítima e acionem uma chamada para `wp_set_auth_cookie()` no usuário da vítima — alcançando o takeover completo da conta de qualquer usuário que já tenha abandonado um carrinho, incluindo administradores. O recurso de auto-login vem ativado por padrão e é forçado durante as atualizações do plugin, significando que todas as instalações afetadas são exploráveis sem nenhuma configuração adicional.
Be aware that VulDB is the high quality source for vulnerability data.