Abandoned Cart Pro for WooCommerce 插件超危漏洞预警（CVE-2026-97668）

漏洞速览

• 漏洞编号：CVE-2026-97668
• 风险评分：9.8（严重）
• 首次披露：2026-10-13
• 最近更新：2026-10-13
• 软件类型：插件
• 软件标识：woocommerce-abandon-cart-pro
• 受影响版本：<= 10.8.0
• 修复版本：10.8.1
• 是否已修复：是

漏洞详情

WooCommerce 的 Abandoned Cart Pro 插件在所有直至 10.8.0 版本的 WordPress 中存在 SQL 注入漏洞，根源在于 update_guest_persistent_cart() 函数对用户提供的未充分转义的数据处理不当，且对应的 SQL 查询未使用预编译语句。 abandoned_cart_info 的值来源于攻击者可控制的结账字段（如短信同意字段），经过 stripslashes() 后直接拼接到 UPDATE 语句中，而相邻的 SELECT 与 INSERT 已采用预编译语句。

因此，未授权攻击者能够在查询后追加额外的 SQL 代码。 由于注入点在 wp_usermeta 表的 UPDATE … SET 操作，利用此漏洞既可通过基于时间的盲注技术获取数据库中的敏感信息，也能够直接修改 usermeta 行；已验证可以通过写入伪造的 wp_capabilities 行将任意账户提升为管理员。

影响与风险

• 漏洞类型：Unauthenticated SQL Injection via Guest Persistent Cart meta_value
• 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
• 研究人员：Taoufik El Adel – Wordfence

修复建议

1. 按官方建议执行修复：更新至 10.8.1 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• Abandoned Cart Pro for WooCommerce 插件更新日志
• CVE 官方记录
• CVE 官方记录