Cart Abandonment Recovery for WooCommerce < 2.2.0 - Unauthenticated Authentication Bypass via Unsigned Recovery Token
CVSS Skor
—
EPSS İhtimal
—
Risk Skoru
—
Yayın
3 sa önce
Resmî kaynaklarda yeterli kanıt bulunamadı. Bu sonuç “yama yok” anlamına gelmez.
Envanterimdeki Etkisi
Yalnızca hesabınıza eklediğiniz kişisel ürünler değerlendirilir; kurumsal envanter burada görünmez.
Oturum kontrol ediliyor…
Zafiyet Açıklaması
DayBreach AI Açıklaması
Kaynakla doğrulandıOkunan kaynak
2
Kaynak uyumu
Tam uyum
Kanıt güveni
%63
Kısa açıklama
Cart Abandonment Recovery for WooCommerce 2.2.0 öncesi sürümlerde, saldırganların bir kullanıcının sepet oturumu kimliğini bildiği takdirde kimlik doğrulama atlayarak terk edilmiş sepet kaydını değiştirmesine, örneğin geri kazanım e‑postalarından çıkarmasına veya rastgele kupon eklemesine izin verilir.
Bu açık, yetkisiz indirim ve e‑posta manipülasyonuna yol açarak e‑ticaret gelirini ve müşteri güvenini zedeleyebilir.
Ne yapılmalı?
- Eklentiyi 2.2.0 veya daha yeni bir sürüme güncelleyin (S1)
- Sabit bir sürüm mevcut değilse, satıcı duyurusunu yakından izleyin (S0)
- Sepet oturumu kimliklerinin erişimini sınırlayın (S0)
- Token bütünlüğü denetimini uygulamayı değerlendirin (S0)
Kanıt zinciri ve kaynaklar
Cart Abandonment Recovery for WooCommerce 2.2.0 öncesi sürümler, bir kullanıcının sepet oturumu kimliğini bilen kimlik doğrulama yapılmamış saldırganların terk edilmiş sepet kaydını değiştirmesine izin verir (S0, S1).
Yama durumu UNKNOWN olarak rapor edilmiştir; bu, resmi bir düzeltmenin doğrulanmadığı anlamına gelir (S0).
Kaynaklardaki teknik metni göster
The Cart Abandonment Recovery for WooCommerce WordPress plugin before 2.2.0 does not verify the integrity of its cart-recovery token before acting on it and still accepts an unsigned legacy token format, allowing unauthenticated attackers who know a victim's cart session identifier to modify that victim's abandoned-cart record, for example unsubscribing them from recovery emails or applying an arbitrary coupon to their restored cart.
Açıklama kaynak kayıtlardan otomatik derlendi. Puanlar, aktif sömürü, yama ve exploit durumları doğrudan kaynaklardan gelir.
IMPACT — Etkilenen Ürünler ve Yazılımlar
Affected Products
The following products are affected by CVE-2026-96901 vulnerability. Even if our threat engine is aware of the exact versions of the products that are affected, the information is represented below.
| ID | VENDOR | PRODUCT | ACTION |
|---|---|---|---|
| 1 | Unknown | Cart Abandonment Recovery for WooCommerce | İncele |
RED HAT CSAF/VEX — Ürün Etki Kontrolü
SCORING — CVSS Çoklu Kaynak Skoru
CVSS Scores
The Common Vulnerability Scoring System is a standardized framework for assessing the severity of vulnerabilities in software and systems. We collect and display CVSS scores from various sources for each CVE.
| SCORE | VERSION | SEVERITY | VECTOR | SOURCE |
|---|---|---|---|---|
| Kaynaklar henüz doğrulanmış bir CVSS metriği yayımlamadı. | ||||
Yama ve İyileştirme Rehberi (Solution)
Solution & Remediation Advisory
İncelenen resmî kaynaklarda yama durumu doğrulanamadı. Bu sonuç “yama yok” anlamına gelmez.
Public exploit ve aktif sömürü durumu
Doğrulanmış exploit istihbaratı
Bu CVE için henüz doğrulanmış public PoC, exploit repository’si veya Metasploit modülü bulunamadı.
Zafiyet Dağılımı ve Saldırı Kalıpları (CWE & CAPEC)
CWE - Common Weakness Enumeration
While CVE identifies specific instances of vulnerabilities, CWE categorizes the common flaws or weaknesses that can lead to vulnerabilities. CVE-2026-96901 is associated with the following CWEs:
Common Attack Pattern Enumeration and Classification (CAPEC)
Common Attack Pattern Enumeration and Classification (CAPEC) stores attack patterns, which are descriptions of the common attributes and approaches employed by adversaries to exploit the CVE-2026-96901 weaknesses.
Resmi Kaynaklar ve Danışma Bültenleri
Yama durumu bilinmiyor
İlgili Benzer Açıklar
Bu açığı API ile alın
Etkilenen ürünler, sürüm aralıkları, istismar durumu ve yama bilgisi tek istekte; ücretsiz anahtarla.
curl -H "x-api-key: $DAYBREACH_API_KEY" \ "https://api.daybreach.dev/api/v1/intel/cves/CVE-2026-96901"