CVE-2026-97657

Resumo

O plugin Abandoned Cart Pro for WooCommerce para WordPress é vulnerável a Bypass de Autenticação via Criptografia Maleável e HMAC Contornável em todas as versões até, e incluindo, a 10.8.0. Isso se deve ao uso de criptografia AES-CTR sem MAC para os tokens de link de recuperação de carrinho — em que o nonce CTR de 8 bytes é transportado dentro do blob de texto cifrado e a chave de criptografia é consultada usando o parâmetro GET `user_email` fornecido pelo atacante — combinado com uma verificação de nonce HMAC em `wcap_email_track_links()` que só é aplicada quando o parâmetro `wcap_nonce` não está vazio, permitindo o bypass completo por omissão, e uma referência direta insegura a objeto no `abandoned_id` descriptografado, sem verificação de propriedade que confirme que o carrinho pertence ao e-mail usado para a descriptografia. Isso torna possível para atacantes não autenticados que possuam um único link legítimo de recuperação de carrinho (obtido a partir do seu próprio e-mail de lembrete) recuperar o keystream, forjar um texto cifrado que descriptografa para o ID de carrinho de qualquer vítima e acionar uma chamada a `wp_set_auth_cookie()` para o usuário vítima — alcançando a tomada de conta completa de qualquer usuário que já tenha abandonado um carrinho, incluindo administradores. O recurso de login automático vem habilitado por padrão e é forçado durante as atualizações do plugin, o que significa que todas as instalações afetadas são exploráveis sem qualquer configuração adicional.

Fontes

• CVE-2026-97657PoC

  PoC em Python para CVE-2026-97657: forja tokens de recuperação AES-CTR via maleabilidade XOR para contornar a autenticação e assumir o controle de contas WordPress no Abandoned Cart Pro ≤10.8.0.