CVE-2026-96901: обход аутентификации в Cart Abandonment Recovery for WooCommerce

В WordPress-плагине Cart Abandonment Recovery for WooCommerce, предназначенном для возврата покупателей к брошенным корзинам, выявлена уязвимость обхода аутентификации. Она затрагивает версии плагина до 2.2.0 и позволяет неаутентифицированному атакующему вмешиваться в записи о брошенных корзинах других пользователей.

Подробности

Плагин Cart Abandonment Recovery for WooCommerce до версии 2.2.0 не проверяет целостность токена восстановления корзины перед выполнением действий по нему. Кроме того, он по-прежнему принимает устаревший формат токена без подписи. В результате злоумышленник, не прошедший аутентификацию, но знающий идентификатор сессии корзины жертвы, может изменить соответствующую запись брошенной корзины.

Возможные последствия включают отписку жертвы от писем о восстановлении корзины и применение произвольного купона к восстановленной корзине. Уязвимость классифицируется как обход аутентификации (authentication bypass) через неподписанный токен восстановления. Значение CVSS в записи CVE не указано.

Что делать

Рекомендуется обновить плагин Cart Abandonment Recovery for WooCommerce до версии 2.2.0 или более поздней, где проверка целостности токена восстановления реализована корректно. До установки обновления следует оценить необходимость использования функционала восстановления корзин и, при возможности, временно ограничить его. Также целесообразно проверить журналы на предмет подозрительных изменений записей о брошенных корзинах и необычного применения купонов.

Уязвимость демонстрирует важность криптографической проверки токенов, влияющих на состояние пользовательских данных: даже при наличии идентификатора сессии сервер обязан убеждаться, что токен выдан доверенной стороной и не был подменён. Своевременное обновление плагина закрывает вектор атаки.

Источник: CVE Project (cvelistV5)