V pluginu Abandoned Cart Pro for WooCommerce byla identifikována kritická bezpečnostní zranitelnost umožňující nepřihlášenému útočníkovi převzít existující uživatelský účet WordPressu bez znalosti jeho hesla.
Plugin slouží k evidenci opuštěných nákupních košíků a automatizovanému zasílání připomínek zákazníkům.
Mechanismus zneužití
Problém se nachází v mechanismu zpracování odkazů pro obnovení opuštěného košíku.
Plugin používá šifrování AES-CTR bez dostatečné ochrany integrity šifrovaných údajů.
Dalším problémem je nedostatečné ověřování bezpečnostního tokenu HMAC ve funkci:
wcap_email_track_links()
Kontrola bezpečnostního tokenu se provádí pouze v případě, že parametr wcap_nonce obsahuje neprázdnou hodnotu.
Útočník tak může tuto kontrolu obejít úplným vynecháním parametru.
Současně plugin nedostatečně ověřuje, zda identifikátor obnoveného košíku skutečně patří uživateli, jehož identita je použita při zpracování požadavku.
Útočník, který disponuje vlastním legitimním odkazem pro obnovení opuštěného košíku, může za určitých podmínek vytvořit upravený odkaz odkazující na košík jiného uživatele.
Plugin následně může prostřednictvím funkce wp_set_auth_cookie() vytvořit přihlášenou relaci cílového uživatele.
Možné následky
Úspěšné zneužití může umožnit neoprávněné přihlášení k existujícím uživatelským účtům.
Zranitelnost se může týkat také administrátorských účtů, pokud mají odpovídající záznam opuštěného košíku.
V takovém případě může útočník získat úplnou kontrolu nad WordPressem.
Závažnost zvyšuje skutečnost, že funkce automatického přihlášení je podle bezpečnostního záznamu ve výchozím nastavení aktivní.
Hodnocení závažnosti
CVSS: 9.8/10 – Kritická 🔴
K 14. říjnu 2026 nebylo potvrzeno aktivní zneužívání této konkrétní zranitelnosti v reálných útocích.
Dostupnost bezpečnostní opravy
Zranitelnost byla opravena ve verzi 10.8.1.
Patchstack současně poskytuje ochranné pravidlo pro blokování známých způsobů zneužití.
Doporučené kroky
- Doporučujeme bezodkladně aktualizovat Abandoned Cart Pro for WooCommerce minimálně na verzi 10.8.1.
- U e-shopů, které provozovaly postižené verze, doporučujeme prověřit historii přihlášení uživatelských účtů.
- Je vhodné věnovat zvýšenou pozornost administrátorským účtům a případným neobvyklým přihlašovacím relacím.
- Doporučujeme prověřit serverové logy a podezřelé požadavky související s odkazy pro obnovení opuštěného košíku.
- Je vhodné zkontrolovat neoprávněné změny uživatelských oprávnění, konfigurace WordPressu a WooCommerce.
- Při podezření na kompromitaci doporučujeme ukončit aktivní uživatelské relace a obnovit potenciálně kompromitované přístupové údaje.
- Pokud aktualizace není okamžitě možná, doporučujeme dočasně deaktivovat postižený plugin.
Důležité: Jde o samostatnou zranitelnost odlišnou od dříve hlášené CVE-2026-97668, která ve stejném pluginu umožňuje SQL Injection.
Zdroj: https://patchstack.com/database/wordpress/plugin/woocommerce-abandon-cart-pro/vulnerability/wordpress-abandoned-cart-pro-for-woocommerce-plugin-10-8-0-unauthenticated-authentication-bypass-vulnerability
