CVE-2026-97657

요약

WordPress용 Abandoned Cart Pro for WooCommerce 플러그인은 10.8.0 버전까지(해당 버전 포함) 모든 버전에서 가변 암호화(Malleable Encryption) 및 우회 가능한 HMAC을 통한 인증 우회에 취약합니다. 이는 장바구니 복구 링크 토큰에 MAC이 없는 AES-CTR 암호화를 사용하는 데 기인합니다. 여기서 8바이트 CTR nonce는 암호문 블롭 내부에 포함되어 있고, 암호화 키는 공격자가 제공한 `user_email` GET 파라미터를 사용하여 조회되며, 이와 결합된 `wcap_email_track_links()`의 HMAC nonce 검사는 `wcap_nonce` 파라미터가 비어 있지 않을 때만 시행되어 파라미터 생략만으로 완전한 우회가 가능합니다. 또한 복호화된 `abandoned_id`에 대한 안전하지 않은 직접 객체 참조가 존재하여, 해당 장바구니가 복호화에 사용된 이메일에 속하는지 확인하는 소유권 검증이 없습니다. 이로 인해 단 하나의 정당한 장바구니 복구 링크(자신의 알림 이메일에서 획득)를 보유한 비인증 공격자가 키스트림을 복구하고, 피해자의 장바구니 ID로 복호화되는 암호문을 위조하며, 피해자 사용자에 대해 `wp_set_auth_cookie()` 호출을 트리거할 수 있어, 장바구니를 한 번이라도 버린 적이 있는 모든 사용자(관리자 포함)에 대한 완전한 계정 탈취가 가능합니다. 자동 로그인 기능은 기본적으로 활성화되어 있으며 플러그인 업그레이드 시 강제로 켜지므로, 영향을 받는 모든 설치가 추가 구성 없이 악용 가능합니다.

소스

• CVE-2026-97657PoC

  CVE-2026-97657에 대한 Python PoC: XOR 가변성을 이용해 AES-CTR 복구 토큰을 위조하여 인증을 우회하고 Abandoned Cart Pro ≤10.8.0에서 WordPress 계정을 탈취합니다.