« Volver al listado

CVE-2026-97657

Estado: AplazadaCrítica (9.8)—💥 PoC

El plugin Abandoned Cart Pro for WooCommerce para WordPress es vulnerable a una omisión de autenticación mediante cifrado maleable y HMAC evitable en todas las versiones hasta la 10.8.0 inclusive. Esto se debe al uso de cifrado AES-CTR sin MAC para los tokens de los enlaces de recuperación de carritos, donde el nonce CTR de 8 bytes se transporta dentro del bloque cifrado y la clave de cifrado se busca utilizando el parámetro GET `user_email` controlado por el atacante, combinado con una comprobación de nonce HMAC en `wcap_email_track_links()` que solo se aplica cuando el parámetro `wcap_nonce` no está vacío, lo que permite una omisión completa simplemente omitiendo el parámetro, y con una referencia directa a objeto insegura sobre el `abandoned_id` descifrado sin verificación de propiedad que confirme que el carrito pertenece al correo electrónico utilizado para el descifrado. Esto hace posible que atacantes no autenticados que posean un único enlace legítimo de recuperación de carrito (obtenido de su propio correo de recordatorio) recuperen el flujo de clave, forjen un texto cifrado que descifra al ID del carrito de cualquier víctima y provoquen una llamada a `wp_set_auth_cookie()` para el usuario víctima, logrando una toma de control completa de la cuenta de cualquier usuario que haya abandonado alguna vez un carrito, incluidos los administradores. La función de inicio de sesión automático está habilitada por defecto y se activa forzosamente durante las actualizaciones del plugin, por lo que todas las instalaciones afectadas son explotables sin ninguna configuración adicional.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

💥 Exploits públicos

Hay código de explotación o plantillas de detección públicos. No es lo mismo que explotación activa confirmada (KEV), pero aumenta el riesgo: parchee con prioridad.

⚠️ Las pruebas de concepto de GitHub no están verificadas: algunas son falsas o contienen malware. No las ejecute nunca fuera de un laboratorio aislado.

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector AV:N/PR:N/UI:N explota el plugin sin autenticación; el texto describe toma de cuenta completa, incluidos administradores, mediante wp_set_auth_cookie().

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementApplication Developer GuidanceActive Directory ConfigurationVulnerability ScanningUser TrainingUser Account Management

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Wpclever — Abandoned Cart PROAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-97657",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-97657",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-14T18:23:42.749655Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security@wordfence.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 9.8,
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.9,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security@wordfence.com",
      "affectedData": [
        {
          "vendor": "Tyche Softwares",
          "product": "Abandoned Cart Pro for WooCommerce",
          "versions": [
            {
              "status": "affected",
              "version": "0",
              "versionType": "semver",
              "lessThanOrEqual": "10.8.0"
            }
          ],
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-14T03:17:37.657",
  "references": [
    {
      "url": "https://www.tychesoftwares.com/docs/docs/abandoned-cart-pro-for-woocommerce-new/changelog-abandoned-cart-pro/",
      "source": "security@wordfence.com"
    },
    {
      "url": "https://www.tychesoftwares.com/products/woocommerce-abandoned-cart-pro-plugin/",
      "source": "security@wordfence.com"
    },
    {
      "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/b25b4aed-94b2-4c16-8e4e-39aec4e5e22a?source=cve",
      "source": "security@wordfence.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security@wordfence.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-639"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "The Abandoned Cart Pro for WooCommerce plugin for WordPress is vulnerable to Authentication Bypass via Malleable Encryption and Bypassable HMAC in all versions up to, and including, 10.8.0. This is due to the use of MAC-free AES-CTR encryption for cart-recovery link tokens — where the 8-byte CTR nonce is carried inside the ciphertext blob and the encryption key is looked up using the attacker-supplied `user_email` GET parameter — combined with an HMAC nonce check in `wcap_email_track_links()` that is only enforced when the `wcap_nonce` parameter is non-empty, allowing complete bypass by omission, and an insecure direct object reference on the decrypted `abandoned_id` with no ownership verification confirming the cart belongs to the email used for decryption. This makes it possible for unauthenticated attackers who possess a single legitimate cart-recovery link (obtained from their own reminder email) to recover the keystream, forge a ciphertext that decrypts to any victim's cart ID, and trigger a call to `wp_set_auth_cookie()` for the victim user — achieving full account takeover of any user who has ever abandoned a cart, including administrators. The auto-login feature defaults to enabled and is forced on during plugin upgrades, meaning all affected installations are exploitable without any additional configuration."
    }
  ],
  "lastModified": "2026-10-14T19:17:23.393",
  "sourceIdentifier": "security@wordfence.com"
}