CVE-2026-97657

Résumé

Le plugin Abandoned Cart Pro for WooCommerce pour WordPress est vulnérable à un contournement d'authentification via un chiffrement malléable et un HMAC contournable dans toutes les versions jusqu'à la 10.8.0 incluse. Cela est dû à l'utilisation d'un chiffrement AES-CTR sans MAC pour les jetons de lien de récupération de panier — où le nonce CTR de 8 octets est transporté à l'intérieur du blob de texte chiffré et la clé de chiffrement est recherchée à l'aide du paramètre GET `user_email` fourni par l'attaquant — combiné à une vérification de nonce HMAC dans `wcap_email_track_links()` qui n'est appliquée que lorsque le paramètre `wcap_nonce` est non vide, permettant un contournement complet par omission, ainsi qu'à une référence directe non sécurisée à un objet sur l'`abandoned_id` déchiffré sans vérification de propriété confirmant que le panier appartient à l'adresse e-mail utilisée pour le déchiffrement. Cela permet à des attaquants non authentifiés qui possèdent un seul lien légitime de récupération de panier (obtenu à partir de leur propre e-mail de rappel) de récupérer le flux de clés, de forger un texte chiffré qui se déchiffre en l'ID de panier de n'importe quelle victime, et de déclencher un appel à `wp_set_auth_cookie()` pour l'utilisateur victime — réalisant ainsi une prise de contrôle complète du compte de tout utilisateur ayant déjà abandonné un panier, y compris les administrateurs. La fonctionnalité de connexion automatique est activée par défaut et est forcée lors des mises à jour du plugin, ce qui signifie que toutes les installations affectées sont exploitables sans aucune configuration supplémentaire.

Sources

• CVE-2026-97657PoC

  PoC Python pour CVE-2026-97657 : forge des jetons de récupération AES-CTR via la malléabilité XOR pour contourner l'authentification et prendre le contrôle de comptes WordPress dans Abandoned Cart Pro ≤10.8.0.