« Volver al listado

CVE-2026-97668

Estado: AplazadaCrítica (9.8)—

El plugin Abandoned Cart Pro for WooCommerce para WordPress es vulnerable a inyección SQL a través del meta_value persistente del carrito de invitados en todas las versiones hasta la 10.8.0 inclusive, debido a un escapado insuficiente de los datos proporcionados por el usuario y a la falta de una preparación suficiente de la consulta SQL existente en la función update_guest_persistent_cart().

Leer descripción completaMostrar menos

El valor abandoned_cart_info, rellenado a partir de campos del proceso de compra controlados por el atacante, como el campo de consentimiento para SMS, se pasa a través de stripslashes() y se concatena directamente en una sentencia UPDATE, mientras que el SELECT y el INSERT adyacentes utilizan sentencias preparadas. Esto permite que atacantes no autenticados añadan SQL adicional a la consulta. Como el punto de inyección es un UPDATE ... SET sobre la tabla wp_usermeta, la inyección puede tanto extraer información sensible de la base de datos mediante técnicas ciegas basadas en tiempo como modificar filas de usermeta; se ha demostrado que permite escalar un cuenta arbitraria a administrador escribiendo una fila wp_capabilities que oculta la legítima.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Sin autenticación (AV:N/PR:N/UI:N) e inyección SQL en UPDATE sobre wp_usermeta; el texto demuestra escalado a administrador mediante una fila wp_capabilities y extracción por time-based.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Restrict File and Directory PermissionsPrivileged Account ManagementNetwork SegmentationVulnerability ScanningUser Account ManagementOperating System Configuration

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Abandonedcartpro — Abandoned Cart PROAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-97668",
  "cveTags": [],
  "metrics": {
    "cvssMetricV31": [
      {
        "type": "Primary",
        "source": "security@wordfence.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 9.8,
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.9,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security@wordfence.com",
      "affectedData": [
        {
          "vendor": "Tyche Softwares",
          "product": "Abandoned Cart Pro for WooCommerce",
          "versions": [
            {
              "status": "affected",
              "version": "0",
              "versionType": "semver",
              "lessThanOrEqual": "10.8.0"
            }
          ],
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-14T03:17:37.797",
  "references": [
    {
      "url": "https://www.tychesoftwares.com/docs/docs/abandoned-cart-pro-for-woocommerce-new/changelog-abandoned-cart-pro/",
      "source": "security@wordfence.com"
    },
    {
      "url": "https://www.tychesoftwares.com/products/woocommerce-abandoned-cart-pro-plugin/",
      "source": "security@wordfence.com"
    },
    {
      "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/9d91ffee-6902-4553-af3b-8ef4e5199367?source=cve",
      "source": "security@wordfence.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Primary",
      "source": "security@wordfence.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-89"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "The Abandoned Cart Pro for WooCommerce plugin for WordPress is vulnerable to SQL Injection via the guest cart persistent meta_value in all versions up to, and including, 10.8.0 due to insufficient escaping on user supplied data and lack of sufficient preparation on the existing SQL query in the update_guest_persistent_cart() function. The abandoned_cart_info value, populated from attacker-controlled checkout fields such as the SMS consent field, is passed through stripslashes() and concatenated directly into an UPDATE statement while the adjacent SELECT and INSERT use prepared statements. This makes it possible for unauthenticated attackers to append additional SQL to the query. Because the sink is an UPDATE ... SET on the wp_usermeta table, the injection can both extract sensitive information from the database via time-based blind techniques and modify usermeta rows; it has been demonstrated to escalate an arbitrary account to administrator by writing a wp_capabilities row that shadows the legitimate one."
    }
  ],
  "lastModified": "2026-10-14T14:26:59.367",
  "sourceIdentifier": "security@wordfence.com"
}