CVE-2026-97657

ملخص

إن إضافة Abandoned Cart Pro for WooCommerce الخاصة بـ WordPress معرّضة لتجاوز المصادقة عبر التشفير القابل للتلاعب وHMAC القابل للتجاوز في جميع الإصدارات حتى الإصدار 10.8.0 وما يشمله. ويعود ذلك إلى استخدام تشفير AES-CTR الخالي من MAC لرموز روابط استعادة السلة — حيث يُحمَل nonce الخاص بـ CTR البالغ 8 بايت داخل كتلة النص المشفّر، ويُبحَث عن مفتاح التشفير باستخدام معامل GET المسمّى `user_email` المقدَّم من المهاجم — مقترنًا بفحص nonce الخاص بـ HMAC في `wcap_email_track_links()` الذي لا يُفرَض إلا عندما يكون المعامل `wcap_nonce` غير فارغ، مما يسمح بتجاوز كامل عبر الإغفال، بالإضافة إلى مرجع مباشر غير آمن للكائن على `abandoned_id` المفكوك التشفير دون أي تحقق من الملكية يؤكد أن السلة تخص البريد الإلكتروني المستخدم في فك التشفير. وهذا يجعل من الممكن للمهاجمين غير المصادَق عليهم الذين يمتلكون رابط استعادة سلة شرعي واحد (تم الحصول عليه من رسالة التذكير الخاصة بهم) استرداد تدفق المفاتيح (keystream)، وتزوير نص مشفّر يُفكّ تشفيره إلى معرّف سلة أي ضحية، وإطلاق استدعاء لـ `wp_set_auth_cookie()` للمستخدم الضحية — مما يحقق استيلاءً كاملًا على الحساب لأي مستخدم سبق له التخلي عن سلة، بما في ذلك المسؤولين. ميزة تسجيل الدخول التلقائي مفعّلة افتراضيًا وتُفرَض أثناء ترقيات الإضافة، مما يعني أن جميع عمليات التثبيت المتأثرة قابلة للاستغلال دون أي إعداد إضافي.

المصادر

• CVE-2026-97657PoC

  أداة إثبات مفهوم بلغة Python للثغرة CVE-2026-97657: تزوير رموز استرداد AES-CTR عبر قابلية التعديل XOR لتجاوز المصادقة والاستيلاء على حسابات WordPress في Abandoned Cart Pro ≤10.8.0.