CVE-2026-97657

Zusammenfassung

Das Plugin Abandoned Cart Pro for WooCommerce für WordPress ist in allen Versionen bis einschließlich 10.8.0 anfällig für eine Authentifizierungs-Umgehung durch formbare Verschlüsselung und umgehbare HMAC. Dies liegt an der Verwendung von MAC-freier AES-CTR-Verschlüsselung für Warenkorb-Wiederherstellungs-Link-Token – wobei die 8-Byte-CTR-Nonce innerhalb des Chiffretext-Blobs mitgeführt wird und der Verschlüsselungsschlüssel anhand des vom Angreifer gelieferten `user_email`-GET-Parameters nachgeschlagen wird – in Kombination mit einer HMAC-Nonce-Prüfung in `wcap_email_track_links()`, die nur durchgesetzt wird, wenn der Parameter `wcap_nonce` nicht leer ist, was eine vollständige Umgehung durch Auslassung ermöglicht, sowie einer unsicheren direkten Objektreferenz auf die entschlüsselte `abandoned_id` ohne Eigentumsüberprüfung, die bestätigt, dass der Warenkorb zur E-Mail-Adresse gehört, die zur Entschlüsselung verwendet wurde. Dadurch ist es für nicht authentifizierte Angreifer, die einen einzigen legitimen Warenkorb-Wiederherstellungslink besitzen (aus ihrer eigenen Erinnerungs-E-Mail erhalten), möglich, den Keystream wiederherzustellen, einen Chiffretext zu fälschen, der zu einer beliebigen Warenkorb-ID eines Opfers entschlüsselt, und einen Aufruf von `wp_set_auth_cookie()` für den Opfer-Benutzer auszulösen – was eine vollständige Kontoübernahme jedes Benutzers erreicht, der jemals einen Warenkorb abgebrochen hat, einschließlich Administratoren. Die Auto-Login-Funktion ist standardmäßig aktiviert und wird bei Plugin-Upgrades erzwungen, was bedeutet, dass alle betroffenen Installationen ohne zusätzliche Konfiguration ausnutzbar sind.

Quellen

• CVE-2026-97657PoC

  Python-PoC für CVE-2026-97657: fälscht AES-CTR-Wiederherstellungstoken durch XOR-Malleabilität, um die Authentifizierung zu umgehen und WordPress-Konten in Abandoned Cart Pro ≤10.8.0 zu übernehmen.