Contournement d’authentification dans Abandoned Cart Pro for WooCommerce

Veille sécuritéCMS & e-commerce

P3Critique

Abandoned Cart Pro for WooCommerce permet le contournement de l’authentification à partir de jetons de récupération de panier forgés, pouvant conduire à la prise de contrôle d’un compte. La description indique que des attaquants non authentifiés ayant accès à un lien de récupération légitime peuvent viser des comptes d’utilisateurs ayant abandonné un panier.

IdentifiantCVE-2026-97657

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-97657

Analyse technique

La vulnérabilité repose sur des jetons AES-CTR sans authentification cryptographique, un contrôle HMAC conditionnel pouvant être omis et l’absence de vérification que le panier déchiffré appartient à l’adresse fournie.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-14, dans la période. L’item est retenu comme vulnérabilité publiée à cette date, et non sur la seule base de sa date de modification.

ImpactPrise de contrôle de comptes, y compris potentiellement de comptes administrateurs.

Versions affectéesVersions jusqu’à 10.8.0 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.8

EPSS0,38% · percentile 29,8%

Publication2026-10-14T03:17:37.657Z

Mise à jour2026-10-14T19:17:23.393Z

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin jusqu’à l’application d’un correctif.

Sources

NVD — CVE-2026-97657

Priorisation DFS : P3 · 1 source(s).