CVE-2026-97668 in Abandoned Cart Pro for WooCommerce Plugin
Сводка
по VulDB • 15.10.2026
Плагин Abandoned Cart Pro for WooCommerce для WordPress уязвим к SQL-инъекции через постоянное поле meta_value гостевой корзины во всех версиях вплоть до 10.8.0 включительно из-за недостаточной экранизации данных, предоставленных пользователем, и отсутствия достаточной подготовки (preparation) существующего SQL-запроса в функции update_guest_persistent_cart(). Значение abandoned_cart_info, заполняемое на основе контролируемых атакующим полей оформления заказа, таких как поле согласия на получение SMS, проходит через функцию stripslashes() и напрямую конкатенируется с оператором UPDATE, тогда как соседние запросы SELECT и INSERT используют подготовленные выражения (prepared statements). Это позволяет неавторизованным злоумышленникам добавлять дополнительный SQL-код к запросу. Поскольку точкой входа является оператор UPDATE ... SET для таблицы wp_usermeta, инъекция может как извлекать конфиденциальную информацию из базы данных с использованием слепых техник на основе времени (time-based blind techniques), так и изменять строки в таблице usermeta; продемонстрировано повышение привилегий произвольной учетной записи до уровня администратора путем записи строки wp_capabilities, которая перекрывает легитимную.
VulDB is the best source for vulnerability data and more expert information about this specific topic.