Šta se desilo?

Objavljena je ranjivost CVE-2026-97657 u WordPress dodatku Abandoned Cart Pro for WooCommerce proizvođača Tyche Softwares. Wordfence je ocenjuje sa 9,8 prema CVSS 3.1. Napadaču omogućava da zaobiđe prijavu i preuzme korisnički nalog bez poznavanja njegove lozinke.

Koga pogađa?

Pogođene su instalacije ovog dodatka u verziji 10.8.0 i starijim. Napad zahteva jedan legitiman link za oporavak korpe, koji napadač može dobiti iz sopstvenog podsetnika. Meta može biti korisnik koji je napustio korpu, uključujući administratora ako ispunjava taj uslov. Ovo nije ranjivost svih WooCommerce prodavnica.

Kako se zaštititi?

  • Ažurirajte Abandoned Cart Pro na verziju 10.8.1 ili noviju zakrpljenu verziju iz zvaničnog izvora.
  • Ako ažuriranje trenutno nije moguće, privremeno deaktivirajte ranjivi dodatak. Proverite posledice po slanje podsetnika kupcima.
  • Pregledajte neočekivane prijave, promene korisničkih uloga i nove administratorske naloge.
  • Ako postoje znaci kompromitovanja, opozovite aktivne sesije, promenite ugrožene pristupne podatke i sprovedite pregled sajta. Sama promena lozinke ne uklanja ranjivost.

Tehnički detalji

Prema Wordfence analizi, problem obuhvata AES-CTR tokene bez zaštite integriteta, proveru HMAC vrednosti koja može da se preskoči izostavljanjem parametra i nedostatak provere vlasništva nad korpom. Kombinacija propusta omogućava izmenu tokena tako da dodatak prijavi korisnika čijoj korpi token ne bi smeo da pristupa. Automatska prijava je podrazumevano uključena i uključuje se tokom nadogradnje dodatka.

Wordfence i Patchstack navode 10.8.1 kao zakrpljenu verziju. Proizvođač je na stranici proizvoda navodi kao izdanje ažurirano 8. oktobra 2026. U pregledanim objavama nema potvrde aktivne eksploatacije niti broja kompromitovanih sajtova.

Zašto je važno?

Preuzimanje naloga može izložiti podatke i funkcije dostupne tom korisniku. Posledice su ozbiljnije ako napadač dobije administratorski pristup. Zbog toga broj poseta prodavnici nije dobar kriterijum za odlaganje ispravke.

Preporuka Sajber Radara

Proverite tačan naziv i verziju dodatka u WordPress administraciji i primenite zakrpu bez odlaganja. Posle ažuriranja proverite prijavljivanje i oporavak korpe. Ako dodatak održava spoljni saradnik, tražite potvrdu instalirane verzije i obavljenih provera.