CVE-2026-97657

Riepilogo

Il plugin Abandoned Cart Pro for WooCommerce per WordPress è vulnerabile ad Authentication Bypass tramite crittografia malleabile e HMAC aggirabile in tutte le versioni fino alla 10.8.0 inclusa. Ciò è dovuto all'uso della crittografia AES-CTR senza MAC per i token dei link di recupero del carrello — in cui il nonce CTR di 8 byte è trasportato all'interno del blob del testo cifrato e la chiave di crittografia viene cercata utilizzando il parametro GET `user_email` fornito dall'attaccante — combinato con un controllo del nonce HMAC in `wcap_email_track_links()` che viene applicato solo quando il parametro `wcap_nonce` non è vuoto, consentendo un bypass completo per omissione, e un riferimento diretto insicuro a oggetti sull'`abandoned_id` decifrato senza verifica di proprietà che confermi che il carrello appartenga all'email usata per la decifratura. Ciò rende possibile per attaccanti non autenticati che possiedono un singolo link legittimo di recupero del carrello (ottenuto dalla propria email di promemoria) recuperare il keystream, forgiare un testo cifrato che si decifra nell'ID del carrello di qualsiasi vittima e attivare una chiamata a `wp_set_auth_cookie()` per l'utente vittima — ottenendo il pieno account takeover di qualsiasi utente che abbia mai abbandonato un carrello, inclusi gli amministratori. La funzionalità di auto-login è abilitata per impostazione predefinita e viene forzata durante gli aggiornamenti del plugin, il che significa che tutte le installazioni interessate sono sfruttabili senza alcuna configurazione aggiuntiva.

Fonti

• CVE-2026-97657PoC

  PoC in Python per CVE-2026-97657: falsifica token di recupero AES-CTR tramite malleabilità XOR per aggirare l'autenticazione e assumere il controllo degli account WordPress in Abandoned Cart Pro ≤10.8.0.