Abandoned Cart Pro for WooCommerce 插件超危漏洞预警（CVE-2026-97657）

漏洞速览

• 漏洞编号：CVE-2026-97657
• 风险评分：9.8（严重）
• 首次披露：2026-10-13
• 最近更新：2026-10-13
• 软件类型：插件
• 软件标识：woocommerce-abandon-cart-pro
• 受影响版本：<= 10.8.0
• 修复版本：10.8.1
• 是否已修复：是

漏洞详情

Abandoned Cart Pro for WooCommerce 插件在 10.8.0 及以下所有版本中存在通过可变形加密和可绕过的 HMAC 实现身份验证绕过的漏洞。根本原因在于购物车恢复链接令牌使用了无 MAC 的 AES‑CTR 加密，且 8 字节的 CTR nonce 被嵌入密文块中，密钥通过攻击者可控制的 user_email GET 参数查询；与此同时，wcap_email_track_links() 中的 HMAC 校验仅在 wcap_nonce 参数非空时才生效，攻击者可通过省略该参数直接绕过；此外，对解密的 abandoned_id 存在直接对象引用且未进行归属验证，导致无法确认购物车是否属于用于解密的邮箱。拥有任意一个合法恢复链接（从自己的提醒邮件中获取）的未认证攻击者即可恢复密钥流，伪造能够解密为任意受害者购物车 ID 的密文，并触发 wp_set_auth_cookie() 为受害者设置登录凭证，从而实现对任何曾弃购的用户（包括管理员）的完整账户接管。自动登录功能默认开启并在插件升级时被强制启用，意味着所有受影响的安装均可被利用，无需额外配置。

影响与风险

• 漏洞类型：Unauthenticated Authentication Bypass via Malleable Encryption and Bypassable HMAC via Recovery Link 'validate' Parameter
• 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
• 研究人员：andrea bocchetti

修复建议

1. 按官方建议执行修复：更新至 10.8.1 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• Abandoned Cart Pro for WooCommerce 插件更新日志
• CVE 官方记录
• CVE 官方记录