CVE-2026-97668 Inyección SQL sin autenticación en Abandoned Cart Pro for WooCommerce

Qué es CVE-2026-97668

El plugin Abandoned Cart Pro for WooCommerce para WordPress es vulnerable a inyección SQL a través del meta_value del carrito persistente de invitados en todas las versiones hasta la 10.8.0 inclusive, por escape insuficiente y falta de preparación de la consulta en update_guest_persistent_cart(). Atacantes no autenticados pueden agregar SQL a una sentencia UPDATE sobre wp_usermeta, lo que permite extraer información sensible mediante técnicas ciegas basadas en tiempo y modificar filas de usermeta.

Productos y versiones afectadas

• Tyche Softwares Abandoned Cart Pro for WooCommerce

  • hasta 10.8.0

Qué hacer

1. Verificá si usás Abandoned Cart Pro for WooCommerce y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 9.8 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

The Abandoned Cart Pro for WooCommerce plugin for WordPress is vulnerable to SQL Injection via the guest cart persistent meta_value in all versions up to, and including, 10.8.0 due to insufficient escaping on user supplied data and lack of sufficient preparation on the existing SQL query in the update_guest_persistent_cart() function. The abandoned_cart_info value, populated from attacker-controlled checkout fields such as the SMS consent field, is passed through stripslashes() and concatenated directly into an UPDATE statement while the adjacent SELECT and INSERT use prepared statements. This makes it possible for unauthenticated attackers to append additional SQL to the query. Because the sink is an UPDATE ... SET on the wp_usermeta table, the injection can both extract sensitive information from the database via time-based blind techniques and modify usermeta rows; it has been demonstrated to escalate an arbitrary account to administrator by writing a wp_capabilities row that shadows the legitimate one.

Referencias

• www.wordfence.com/threat-intel/vulnerabilities/id/9d91ffee-6902-4553-af3b-8ef4e5199367?so…
• www.tychesoftwares.com/products/woocommerce-abandoned-cart-pro-plugin/
• www.tychesoftwares.com/docs/docs/abandoned-cart-pro-for-woocommerce-new/changelog-abandon…

Historial de la alerta

1. 14 OCT · 01:18VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.