CVE-2026-97657
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- —
- CWE
- CWE-639
- KEV Durumu
- Hayır
Yayım tarihi: 14 Ekim 2026
Abandoned Cart Pro for WooCommerce eklentisi, WordPress için, 10.8.0 sürümüne kadar olan tüm sürümlerde, Kimlik Doğrulama Atlatma yoluyla Zayıflatılabilir Şifreleme ve Atlatılabilir HMAC'ye karşı savunmasızdır. Bu, kart kurtarma bağlantı tokenleri için MAC-free AES-CTR şifrelemesinin kullanılmasından kaynaklanmaktadır - burada 8 byte'lik CTR nonce şifreli metin bloğu içinde taşınır ve şifreleme anahtarı saldırgan tarafından sağlanan `user_email` GET parametresini kullanarak bulunur - ve `wcap_email_track_links()` içindeki HMAC nonce kontrolü ile birleştirilir, bu kontrol yalnızca `wcap_nonce` parametresinin boş olmaması durumunda uygulanır, böylece atlamayı umožleyen bir boşluk oluşur ve şifresiz `abandoned_id` üzerinde güvenilmeyen doğrudan nesne referansı, kartın kullanılan şifre çözme e-postasına ait olduğunu doğrulayan hiçbir sahip doğrulaması olmadan oluşur. Bu, tek bir meşru kart kurtarma bağlantısına (kendilerine ait hatırlatma e-postasından elde edilen) sahip olan kimlik doğrulamaları yapılmamış saldırganların, keystream'i kurtarmasını, herhangi bir kurbanın kart ID'sine şifrelenen bir şifreli metin oluşturmasını ve kurban kullanıcının `wp_set_auth_cookie()` çağrısını tetiklemesini sağlar - böylece bir zamanlar bir sepeti terk etmiş olan herhangi bir kullanıcı, dahil olmak üzere yöneticiler de dahil olmak üzere tam hesap ele geçirme işlemini gerçekleştirebilir. Otomatik giriş özelliği varsayılan olarak etkinleştirilir ve eklenti yükseltmeleri sırasında zorlanır, bu nedenle tüm etkilenen kurulumlar, ek bir yapılandırma olmadan sömürülebilir.
Orijinal açıklama (İngilizce)
The Abandoned Cart Pro for WooCommerce plugin for WordPress is vulnerable to Authentication Bypass via Malleable Encryption and Bypassable HMAC in all versions up to, and including, 10.8.0. This is due to the use of MAC-free AES-CTR encryption for cart-recovery link tokens — where the 8-byte CTR nonce is carried inside the ciphertext blob and the encryption key is looked up using the attacker-supplied `user_email` GET parameter — combined with an HMAC nonce check in `wcap_email_track_links()` that is only enforced when the `wcap_nonce` parameter is non-empty, allowing complete bypass by omission, and an insecure direct object reference on the decrypted `abandoned_id` with no ownership verification confirming the cart belongs to the email used for decryption. This makes it possible for unauthenticated attackers who possess a single legitimate cart-recovery link (obtained from their own reminder email) to recover the keystream, forge a ciphertext that decrypts to any victim's cart ID, and trigger a call to `wp_set_auth_cookie()` for the victim user — achieving full account takeover of any user who has ever abandoned a cart, including administrators. The auto-login feature defaults to enabled and is forced on during plugin upgrades, meaning all affected installations are exploitable without any additional configuration.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.