CVE-2026-97657

总结

WordPress 的 Abandoned Cart Pro for WooCommerce 插件在所有版本（包括 10.8.0）中均存在身份验证绕过漏洞，该漏洞源于可塑加密与可绕过的 HMAC。具体原因在于：购物车恢复链接令牌使用了无 MAC 的 AES-CTR 加密——其中 8 字节的 CTR nonce 被携带在密文数据块内部，且加密密钥通过攻击者提供的 `user_email` GET 参数进行查找——同时 `wcap_email_track_links()` 中的 HMAC nonce 检查仅在 `wcap_nonce` 参数非空时才会强制执行，从而允许通过省略该参数实现完全绕过；此外，解密后的 `abandoned_id` 存在不安全的直接对象引用，且没有所有权验证来确认该购物车属于用于解密的电子邮件。这使得拥有单个合法购物车恢复链接（从其自己的提醒邮件中获得）的未认证攻击者能够恢复密钥流，伪造一个可解密为任意受害者购物车 ID 的密文，并触发针对受害者用户的 `wp_set_auth_cookie()` 调用——从而实现对任何曾经放弃过购物车的用户（包括管理员）的完整账户接管。自动登录功能默认启用，并在插件升级期间被强制开启，这意味着所有受影响的安装均可在无需任何额外配置的情况下被利用。

来源

• CVE-2026-97657PoC

  针对 CVE-2026-97657 的 Python PoC：通过 XOR 可延展性伪造 AES-CTR 恢复令牌，从而绕过身份验证并接管 Abandoned Cart Pro ≤10.8.0 中的 WordPress 账户。