Abandoned Cart Pro for WooCommerce eklentisinde kimlik doğrulama atlatma açığı (kritik)
Yapay zeka üretimi14.10.2026
- CVE
- CVE-2026-97657
- Ciddiyet
- Kritik (CVSS 9.8)
- Firma / ürün
- - / -
Özet
NVD kaydına göre, Abandoned Cart Pro for WooCommerce eklentisinin 10.8.0 ve öncesi sürümlerinde kimlik doğrulama atlatma açığı bulunuyor. Açık, yetkisiz kişilerin başka bir kullanıcının hesabını ele geçirmesine olanak tanıyor.
Ayrıntılar
NVD kaydına göre, WordPress için Abandoned Cart Pro for WooCommerce eklentisi, tüm sürümlerde (10.8.0 dahil) MAC'siz AES-CTR şifrelemesi ve HMAC kontrolünün yalnızca belirli bir parametre mevcut olduğunda uygulanması nedeniyle kimlik doğrulama atlatma (Authentication Bypass) açığı içeriyor. Saldırgan, tek bir geçerli sepet kurtarma bağlantısını kullanarak şifre akışını elde edebilir, istediği bir kullanıcının sepet kimliğine karşılık gelen şifreli veriyi oluşturabilir ve wp_set_auth_cookie() fonksiyonunu tetikleyerek hedef kullanıcının oturumunu ele geçirebilir. Bu durum, sepeti terk etmiş tüm kullanıcıların, yöneticiler dahil, hesaplarının tamamen ele geçirilmesini sağlar. Eklentinin otomatik giriş özelliği varsayılan olarak etkin ve güncellemelerde zorunlu olduğundan, ek bir yapılandırma gerektirmeden tüm etkilenen kurulumlar saldırıya açıktır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin. Güncelleme yayınlandığında derhal uygulayın. Ürüne dışarıdan erişimi mümkün olduğunca sınırlayın.