CVE-2026-97657

概要

WordPress用のAbandoned Cart Pro for WooCommerceプラグインは、バージョン10.8.0以前のすべてのバージョンにおいて、可鍛暗号化（Malleable Encryption）およびバイパス可能なHMACによる認証バイパスに対して脆弱です。これは、カート復元リンクトークンにMACなしのAES-CTR暗号化が使用されていることに起因します。8バイトのCTRナンスが暗号文ブロブ内に含まれており、暗号化キーが攻撃者から提供された`user_email` GETパラメータを使用して検索されます。さらに、`wcap_email_track_links()`内のHMACナンスチェックは`wcap_nonce`パラメータが空でない場合にのみ適用されるため、省略による完全なバイパスが可能です。また、復号された`abandoned_id`に対する安全でない直接オブジェクト参照が存在し、カートが復号に使用されたメールに属していることを確認する所有権検証がありません。これにより、単一の正規のカート復元リンク（自身のリマインダーメールから取得）を所持する未認証の攻撃者が、キーストリームを復元し、任意の被害者のカートIDに復号される暗号文を偽造し、被害者ユーザーに対して`wp_set_auth_cookie()`の呼び出しをトリガーすることが可能になります。これにより、カートを一度でも放棄したことのある任意のユーザー（管理者を含む）の完全なアカウント乗っ取りが達成されます。自動ログイン機能はデフォルトで有効になっており、プラグインのアップグレード時に強制的に有効化されるため、影響を受けるすべてのインストールが追加設定なしで悪用可能です。

ソース

• CVE-2026-97657PoC

  CVE-2026-97657 の Python PoC：XOR の可鍛性を利用して AES-CTR リカバリトークンを偽造し、Abandoned Cart Pro ≤10.8.0 で認証をバイパスして WordPress アカウントを乗っ取ります。