CVE-2026-97657

WordPress için Abandoned Cart Pro for WooCommerce eklentisi, 10.8.0 dahil tüm sürümlerinde Değiştirilebilir Şifreleme ve Atlatılabilir HMAC aracılığıyla Kimlik Doğrulama Atlatma zafiyetine sahiptir. Bu durum; sepet kurtarma bağlantı belirteçleri için MAC içermeyen AES-CTR şifrelemesinin kullanılması (burada 8 baytlık CTR nonce şifreli metin bloğu içinde taşınır ve şifreleme anahtarı saldırgan tarafından sağlanan `user_email` GET parametresi kullanılarak aranır), `wcap_email_track_links()` fonksiyonundaki HMAC nonce kontrolünün yalnızca `wcap_nonce` parametresi boş olmadığında uygulanması nedeniyle parametrenin eksik bırakılmasıyla tamamen atlatılabilmesi ve şifresi çözülmüş `abandoned_id` üzerinde, sepetin şifreleme için kullanılan e-postaya ait olduğunu doğrulayan bir sahiplik kontrolü olmaksızın güvensiz doğrudan nesne referansı bulunmasıyla ilişkilidir. Bu durum, tek bir geçerli sepet kurtarma bağlantısına sahip olan kimliği doğrulanmamış saldırganların (kendi hatırlatıcı e-postasından elde edilen), anahtar akışını geri kazanmasını, herhangi bir kurbanın sepet kimliğine çözülecek sahte bir şifreli metin oluşturmasını ve kurban kullanıcı için `wp_set_auth_cookie()` çağrısını tetiklemesini mümkün kılarak yöneticiler de dahil olmak üzere daha önce sepetini terk etmiş herhangi bir kullanıcının hesabının tamamen ele geçirilmesine yol açar. Otomatik giriş özelliği varsayılan olarak etkinleştirilmiştir ve eklenti güncellemeleri sırasında zorunlu olarak açık tutulmaktadır; bu da etkilenen tüm kurulumların ek bir yapılandırmaya gerek kalmadan istismar edilebileceği anlamına gelir.