CVE-2026-97657

सारांश

WordPress के लिए Abandoned Cart Pro for WooCommerce प्लगइन सभी संस्करणों में, 10.8.0 सहित, Authentication Bypass के प्रति असुरक्षित है, जो Malleable Encryption और Bypassable HMAC के माध्यम से होता है। यह cart-recovery लिंक टोकन के लिए MAC-रहित AES-CTR एन्क्रिप्शन के उपयोग के कारण है — जहाँ 8-बाइट CTR nonce सिफरटेक्स्ट ब्लॉब के अंदर ले जाया जाता है और एन्क्रिप्शन कुंजी हमलावर द्वारा प्रदान किए गए `user_email` GET पैरामीटर का उपयोग करके खोजी जाती है — साथ ही `wcap_email_track_links()` में एक HMAC nonce जाँच जो केवल तब लागू होती है जब `wcap_nonce` पैरामीटर गैर-रिक्त हो, जिससे छोड़ने (omission) के द्वारा पूर्ण बायपास संभव हो जाता है, और डिक्रिप्ट किए गए `abandoned_id` पर एक असुरक्षित डायरेक्ट ऑब्जेक्ट रेफरेंस जिसमें कोई स्वामित्व सत्यापन नहीं है जो पुष्टि करे कि कार्ट डिक्रिप्शन के लिए उपयोग किए गए ईमेल का है। यह उन अनधिकृत हमलावरों के लिए संभव बनाता है जिनके पास एक वैध cart-recovery लिंक है (अपने स्वयं के रिमाइंडर ईमेल से प्राप्त) कि वे कीस्ट्रीम पुनर्प्राप्त कर सकें, एक सिफरटेक्स्ट बना सकें जो किसी भी पीड़ित की कार्ट ID में डिक्रिप्ट हो, और पीड़ित उपयोगकर्ता के लिए `wp_set_auth_cookie()` को कॉल ट्रिगर कर सकें — किसी भी ऐसे उपयोगकर्ता का पूर्ण खाता अधिग्रहण (account takeover) प्राप्त कर सकें जिसने कभी कार्ट छोड़ा हो, जिसमें एडमिनिस्ट्रेटर भी शामिल हैं। ऑटो-लॉगिन सुविधा डिफ़ॉल्ट रूप से सक्षम है और प्लगइन अपग्रेड के दौरान इसे जबरन चालू किया जाता है, जिसका अर्थ है कि सभी प्रभावित इंस्टॉलेशन बिना किसी अतिरिक्त कॉन्फ़िगरेशन के शोषण योग्य (exploitable) हैं।

स्रोत

• CVE-2026-97657PoC

  CVE-2026-97657 के लिए Python PoC: Abandoned Cart Pro ≤10.8.0 में XOR malleability के माध्यम से AES-CTR recovery tokens को forge करके authentication को bypass करना और WordPress accounts पर कब्ज़ा करना।