Abandoned Cart Pro за WooCommerce позволява вход като админ

На 13 октомври 2026 г. базите данни WPScan и Patchstack вписаха три уязвимости в Abandoned Cart Pro for WooCommerce, платения плъгин на Tyche Softwares за изоставени колички, а на 14 октомври те се появиха и в NVD. Най-сериозната (CVE-2026-97657) позволява на посетител без акаунт да влезе в магазина като друг потребител, включително като администратор. Засегнати са всички версии до 10.8.0 включително. Поправката е във версия 10.8.1, която Tyche пусна на 8 октомври. Записите в CVE са на Wordfence, а оценката на двете най-тежки е 9.8 по CVSS („критична“).

Защо подправеният линк за възстановяване е опасен

Плъгинът праща напомняния по имейл на клиенти, които са сложили стоки в количката, но не са завършили поръчката. Линкът в писмото ги връща към количката, а ако клиентът има акаунт, плъгинът го вписва автоматично, без парола. Според записа в CVE автоматичният вход е включен по подразбиране и се включва отново при всяко обновление на плъгина.

Във версиите до 10.8.0 такъв линк може да се подправи. Нападателят оставя количка със собствен имейл и от истинския линк в напомнянето сглобява линк към чужда количка. Проверката, която трябва да го спре, се прескача, ако в линка липсва един от параметрите. Щом го отвори, нападателят е вписан като собственика на количката. Това важи за всеки потребител, оставял някога количка в магазина, включително за администраторите.

Втората уязвимост (CVE-2026-97668, също 9.8) е SQL инжекция, тоест вмъкване на чужд код в заявките към базата данни през полетата, които гостът попълва при поръчка. Според записа в CVE с нея всеки акаунт може да стане администратор. Третата (CVE-2026-102251, 7.5) позволява изтегляне на данни от базата. Какво означава оценка 9.8, обясняваме в ръководството за CVSS.

От 14 октомври за първата уязвимост има публикуван код за атака, достъпен за всеки. Patchstack я определя като много опасна и очаква да започне да се използва при атаки. Към 15 октомври никой от източниците по-долу не съобщава за реални атаки.

Засегнат ли е Вашият магазин?

Засегнат е, ако на него работи Abandoned Cart Pro for WooCommerce до версия 10.8.0 включително. Плъгинът не е в каталога на wordpress.org и според Tyche обновленията му се показват само при активиран лиценз, затова липсата на известие не означава, че версията е нова. Проверете я в Plugins > Installed Plugins или с командата по-долу в Terminal на cPanel. Как се работи с WP-CLI, е описано в ръководството за WP-CLI.

# cPanel > Terminal, в папката на сайта
# Само чете. Показва плъгините за изоставени колички.
wp plugin list --fields=name,title,status,version \
  | grep -i abandon

Платеният плъгин е на реда woocommerce-abandon-cart-pro. Редът woocommerce-abandoned-cart е безплатната Abandoned Cart Lite for WooCommerce от wordpress.org, също на Tyche. Тя е отделен плъгин и записите в CVE не я посочват. Във версия 6.9.0 от 15 октомври обаче Tyche е затегнала и в нея проверката на линковете за възстановяване, затова обновете и безплатния плъгин.

Как да обновите плъгина

1. Направете бекъп на файловете и базата данни, както е описано в ръководството за бекъп.
2. Ако лицензът е активен (въвежда се в Abandoned Carts > Settings > License), в Plugins > Installed Plugins ще видите известие за новата версия. Натиснете Update Now.
3. Ако известие няма, изтеглете последната версия от Purchase History в профила си при Tyche. Според указанията на Tyche разархивирайте файла и качете папката в wp-content/plugins през FTP върху старите файлове.
4. Проверете, че версията вече е 10.8.1 или по-нова.
5. Ако не можете да обновите веднага, изключете плъгина дотогава. Напомнянията ще спрат, но и уязвимият код няма да се изпълнява.

Ако обновлението е закъсняло

Ако магазинът е бил на 10.8.0 или по-стара версия, когато уязвимостите станаха публични, проверете дали някой не е влязъл без право. Първата команда по-долу показва всички администратори. Потърсете непознат акаунт или клиент, който изведнъж е станал администратор. Втората показва активните сесии на един администратор с часа на входа и IP адреса.

# cPanel > Terminal, в папката на сайта
# Само чете. Показва администраторите и сесиите на един от тях.
wp user list --role=administrator \
  --fields=ID,user_login,user_email,user_registered
wp user session list ADMIN_LOGIN

Сменете ADMIN_LOGIN с потребителско име от първия списък и повторете за всеки администратор. WordPress не пази история на входовете, затова виждате само сесиите, които още не са изтекли. Ако не откриете нищо, това не доказва, че опит не е имало.

Какво правим ние

При наблюдението на уязвимостите всеки ден сверяваме плъгините, темата и WordPress на Вашия сайт с базите данни с уязвимости (CVE). Щом се появи уязвимост в нещо, което използвате, изпращаме Ви сигнал, а обновлението първо пробваме на копие в staging. Ако проверката по-горе покаже непознат администратор, при почистването на хакнат сайт махаме зловредния код и задните врати. Правим и двете, където и да е хостнат сайтът Ви.

Източници

• Tyche Softwares, Changelog Abandoned Cart Pro
• Tyche Softwares, How to update Abandoned Cart Pro for WooCommerce
• Tyche Softwares, Activate license key
• Tyche Softwares, Abandoned Cart Pro for WooCommerce
• NVD, CVE-2026-97657
• NVD, CVE-2026-97668
• NVD, CVE-2026-102251
• WPScan, Abandoned Cart Pro for WooCommerce
• Patchstack, Abandoned Cart Pro for WooCommerce 10.8.0
• WordPress.org, Abandoned Cart Lite for WooCommerce, Changelog
• WP-CLI, wp user list
• WP-CLI, wp user session list