CVE-2026-97657

Wtyczka Abandoned Cart Pro dla WooCommerce dla WordPressa jest podatna na obejście uwierzytelniania za pomocą szyfrowania plastycznego i obejścia HMAC we wszystkich wersjach do 10.8.0 włącznie. Dzieje się tak ze względu na użycie szyfrowania AES-CTR niezawierającego adresów MAC w tokenach łącza odzyskiwania koszyka — gdzie 8-bajtowa wartość nonce CTR jest przenoszona wewnątrz obiektu blob szyfrowanego tekstu, a klucz szyfrowania jest sprawdzany przy użyciu dostarczonego przez osobę atakującą parametru GET „user_email” — w połączeniu ze sprawdzeniem wartości jednorazowej HMAC w funkcji „wcap_email_track_links()”, która jest wymuszana tylko wtedy, gdy parametr „wcap_nonce” jest niepusty, umożliwiający całkowite pominięcie przez pominięcie oraz niepewne bezpośrednie odniesienie do obiektu w odszyfrowanym „opuszczonym_id” bez weryfikacji własności potwierdzającej, że koszyk należy do wiadomości e-mail użytej do odszyfrowania. Umożliwia to nieuwierzytelnionym atakującym, którzy posiadają pojedynczy prawidłowy link do odzyskiwania koszyka (uzyskany z ich własnej wiadomości e-mail z przypomnieniem), odzyskanie strumienia klucza, sfałszowanie tekstu zaszyfrowanego, który odszyfruje identyfikator koszyka dowolnej ofiary i wywołanie funkcji `wp_set_auth_cookie()` dla użytkownika ofiary — osiągając pełne przejęcie konta każdego użytkownika, który kiedykolwiek porzucił koszyk, w tym administratorów. Funkcja automatycznego logowania jest domyślnie włączona i jest wymuszana podczas aktualizacji wtyczek, co oznacza, że ​​wszystkie instalacje, których dotyczy problem, można wykorzystać bez dodatkowej konfiguracji.