Abandoned Cart Pro for WooCommerce: Authentifizierungsumgehung durch manipulierte Links
Zusammenfassung
Das WordPress-Plugin Abandoned Cart Pro for WooCommerce enthält eine kritische Authentifizierungsumgehung (CVSS 9.8). Unauthentifizierte Angreifer, die einen einzigen legitimen Warenkorb-Wiederherstellungslink aus ihrer eigenen Erinnerungs-E-Mail besitzen, können Token für Warenkörbe anderer Benutzer fälschen und eine Anmeldung als Opfer auslösen. Da die automatische Anmeldung standardmässig aktiviert ist, können alle Benutzer übernommen werden, die jemals einen Warenkorb abgebrochen haben, einschliesslich Administratoren.
Betroffen
- Abandoned Cart Pro for WooCommerce, alle Versionen bis und mit 10.8.0
Behoben in
- Version 10.8.1 (Changelog des Herstellers, Veröffentlichungsdatum 8. Oktober 2026)
Umgehung
- Kein vom Hersteller veröffentlichter Workaround gefunden.
- Provisorische Option, nicht vom Hersteller bestätigt: Die automatische Anmeldung deaktivieren oder das Plugin deaktivieren, bis das Update eingespielt ist.
- Nach dem Update ausstehende Wiederherstellungslinks ungültig machen.
Ausnutzung
- Wordfence/CNA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung total.
- Laut einer Drittquelle nicht im CISA-KEV-Katalog (nicht direkt geprüft).
- EPSS 0.00376 laut einem Aggregator; ein anderer führt den Wert als unbekannt.
- Am 14. Oktober 2026 wurde ein öffentlicher Exploit-Eintrag aufgeführt; dessen Inhalt wurde nicht verifiziert.
- Derselbe Parameter ist auch von CVE-2026-102251 (SQL-Injection) betroffen, behoben in 10.8.1.
Unsere Empfehlung
- Alle WordPress-Websites mit diesem Plugin prüfen, einschliesslich Staging-Kopien, und die installierte Version kontrollieren.
- Sofort auf 10.8.1 oder neuer aktualisieren.
- Nach dem Update ausstehende Wiederherstellungslinks ungültig machen.
- Administratorkonten, Passwort-Zurücksetzungen und letzte Anmeldungen auf Unregelmässigkeiten prüfen.
- Auf Aufnahme in den CISA-KEV-Katalog und weitere Herstellerupdates achten.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
murrez/CVE-2026-97657
Quellen der Recherche
- Tyche Softwares changelog Abandoned Cart Pro www.tychesoftwares.com
- Wordfence threat intelligence advisory www.wordfence.com
- Tyche Softwares product page www.tychesoftwares.com
- Vulners CVE-2026-97657 (CVE record mirror) vulners.com
- GitHub triage issue CVE-2026-97657 github.com
- Vulners VulnCheck entry CVE-2026-102251 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:04.
Referenzen der NVD (3)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.