WooCommerce向け有料プラグイン「Abandoned Cart Pro for WooCommerce」に、アカウントの乗っ取りやSQLインジェクションにつながる複数の重大な脆弱性が報告されています。
Abandoned Cart Proとは？
購入途中で離脱した顧客に対して、メールやSMSなどで購入再開を促すプラグインです。カートに残された商品を把握し、リマインダーやクーポンを送信することで、購入機会の回復を支援します。
今回の脆弱性と想定リスク
10月13日に公開された情報では、以下の問題が確認されています。
- CVE-2026-97657（CVSS 9.8）：カート復元リンクの認証処理を回避し、他人のアカウントへログインできる可能性
- CVE-2026-97668（CVSS 9.8）：購入途中のデータを通じたSQLインジェクションにより、管理者権限を取得される可能性
- CVE-2026-102251（CVSS 7.5）：復元リンクの処理を悪用してデータベース情報を取得される可能性
特に、復元リンクの認証回避では、条件が成立すると管理者を含む他のユーザーのアカウントを乗っ取られるおそれがあります。
Wordfence
+2
影響バージョンと確認・対策
10.8.0以前が対象で、10月8日公開の10.8.1で修正されています。開発元の変更履歴にも、今回の問題に対応するセキュリティ修正が明記されています。
Tyche Softwares Documentation
利用中の場合は10.8.1以降へ更新し、カート復元リンク、メール・SMS通知、顧客ログイン、クーポン、購入完了までの動作を確認してください。
また、不審な管理者アカウントや、意図しないユーザー権限変更がないかも点検しましょう。
利用規模： WordPress.org公式の有効インストール数は確認できません（2026年10月16日確認）。有料プラグインのため推測値は記載しません。
公式リンク： 開発元の変更履歴 ／ Wordfence — CVE-2026-97657