CVE-2026-97657 Evasión de autenticación en Abandoned Cart Pro for WooCommerce

Qué es CVE-2026-97657

Los tokens de enlace de recuperación de carrito usan cifrado AES-CTR sin MAC, con el nonce CTR dentro del ciphertext y la clave obtenida del parámetro user_email del atacante; además, la verificación de nonce HMAC en wcap_email_track_links() solo se aplica si wcap_nonce no está vacío, y el abandoned_id descifrado no verifica propiedad. Un atacante no autenticado con un enlace legítimo de recuperación puede evadir la autenticación. Afecta hasta 10.8.0.

Productos y versiones afectadas

• Tyche Softwares Abandoned Cart Pro for WooCommerce

  • hasta 10.8.0

Qué hacer

1. Verificá si usás Abandoned Cart Pro for WooCommerce y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• murrez/CVE-2026-97657 ↗CVE-2026-97657 – Authentication Bypass & Account Takeover | PocbitPUBLICADO 14 OCT · 17:01

Calculadora CVSS

CVSS 3.1 · 9.8 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

The Abandoned Cart Pro for WooCommerce plugin for WordPress is vulnerable to Authentication Bypass via Malleable Encryption and Bypassable HMAC in all versions up to, and including, 10.8.0. This is due to the use of MAC-free AES-CTR encryption for cart-recovery link tokens — where the 8-byte CTR nonce is carried inside the ciphertext blob and the encryption key is looked up using the attacker-supplied `user_email` GET parameter — combined with an HMAC nonce check in `wcap_email_track_links()` that is only enforced when the `wcap_nonce` parameter is non-empty, allowing complete bypass by omission, and an insecure direct object reference on the decrypted `abandoned_id` with no ownership verification confirming the cart belongs to the email used for decryption. This makes it possible for unauthenticated attackers who possess a single legitimate cart-recovery link (obtained from their own reminder email) to recover the keystream, forge a ciphertext that decrypts to any victim's cart ID, and trigger a call to `wp_set_auth_cookie()` for the victim user — achieving full account takeover of any user who has ever abandoned a cart, including administrators. The auto-login feature defaults to enabled and is forced on during plugin upgrades, meaning all affected installations are exploitable without any additional configuration.

Referencias

• www.wordfence.com/threat-intel/vulnerabilities/id/b25b4aed-94b2-4c16-8e4e-39aec4e5e22a?so…
• www.tychesoftwares.com/docs/docs/abandoned-cart-pro-for-woocommerce-new/changelog-abandon…
• www.tychesoftwares.com/products/woocommerce-abandoned-cart-pro-plugin/

Historial de la alerta

1. 14 OCT · 01:18VULNERABILIDAD Nueva vulnerabilidad detectada.
2. 14 OCT · 17:01EXPLOIT PÚBLICO Se publicó el repositorio murrez/CVE-2026-97657.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.