CVE-2026-97668 in Abandoned Cart Pro for WooCommerce Plugin
Sumário
de VulDB • 15/10/2026
O plugin Abandoned Cart Pro for WooCommerce para WordPress é vulnerável a SQL Injection através do meta_value persistente do carrinho de visitantes em todas as versões até, e incluindo, 10.8.0 devido à falta de escape adequado nos dados fornecidos pelo usuário e à ausência de preparação adequada na consulta SQL existente na função update_guest_persistent_cart(). O valor abandoned_cart_info, populado a partir de campos de checkout controlados por um atacante, como o campo de consentimento SMS, é passado através da função stripslashes() e concatenado diretamente em uma instrução UPDATE, enquanto as instruções SELECT e INSERT adjacentes utilizam prepared statements. Isso permite que atacantes não autenticados anexem SQL adicional à consulta. Como o sink (ponto de injeção) é um UPDATE ... SET na tabela wp_usermeta, a injeção pode tanto extrair informações sensíveis do banco de dados por meio de técnicas cegas baseadas em tempo quanto modificar linhas da usermeta; foi demonstrado que isso permite escalar uma conta arbitrária para administrador ao escrever uma linha wp_capabilities que sobrepõe (shadow) a legítima.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.