CVE-2026-97668 · CVSS 9.8 · The Abandoned Cart Pro for WooCommerce plugin for WordPress is vulnerable to SQL Injection via the guest cart persistent meta_value in all …

NVD (CVSS crítico) · 14 oct, 05:17

El plugin Abandoned Cart Pro para WooCommerce (WordPress) contiene una vulnerabilidad de SQL Injection (CVE-2026-97668, CVSS 9.8) en todas las versiones hasta la 10.8.0 que permite a atacantes no autenticados ejecutar consultas SQL arbitrarias a través de campos del checkout como el consentimiento de SMS. La falla radica en la función update_guest_persistent_cart(), que concatena datos del usuario directamente en una sentencia UPDATE sin escaparlos correctamente, permitiendo extraer información sensible de la base de datos o modificar permisos de administrador.