Kritieke beveiligingslekken in Abandoned Cart Pro bedreigen WooCommerce-webshops
Abandoned Cart Pro kwetsbaarheid: in de populaire WooCommerce-plugin zijn drie ernstige beveiligingslekken ontdekt, waaronder twee kritieke kwetsbaarheden met een CVSS-score van 9.8. De beveiligingsproblemen kunnen onder bepaalde omstandigheden leiden tot accountovername, SQL-injectie en het verkrijgen van administratorrechten. Alle versies tot en met 10.8.0 zijn kwetsbaar. De ontwikkelaar heeft de problemen verholpen in versie 10.8.1.
De kwetsbaarheden kunnen onder bepaalde omstandigheden worden gebruikt om gebruikersaccounts over te nemen, databasegegevens uit te lezen en administratorrechten te verkrijgen.
Voor WooCommerce-webshops die deze plugin gebruiken, is onmiddellijke controle en installatie van de beveiligingsupdate noodzakelijk.
Hoe ernstig is de Abandoned Cart Pro kwetsbaarheid?
De Abandoned Cart Pro kwetsbaarheid vormt een aanzienlijk beveiligingsrisico voor WooCommerce-webshops. De combinatie van authenticatieomzeiling, SQL-injectie en mogelijke privilege-escalatie kan aanvallers onder bepaalde omstandigheden toegang geven tot gevoelige webshopgegevens en administratieve functies.
Voor webshops die klantgegevens, bestellingen en betaalgerelateerde informatie verwerken, is het belangrijk om de beveiligingsupdate zo snel mogelijk te installeren. Controleer daarnaast of er onbekende administratoraccounts zijn aangemaakt of onverwachte wijzigingen in de WordPress-database hebben plaatsgevonden.
Drie beveiligingslekken in Abandoned Cart Pro
De kwetsbaarheden zijn op 13 oktober 2026 publiekelijk bekendgemaakt via Wordfence Intelligence.
Het gaat om de volgende beveiligingsproblemen:
- CVE-2026-97657: Authenticatieomzeiling en accountovername – CVSS 9.8.
- CVE-2026-97668: SQL-injectie via opgeslagen gegevens van verlaten winkelwagens – CVSS 9.8.
- CVE-2026-102251: SQL-injectie via gemanipuleerde herstellinks – CVSS 7.5.
Alle drie de kwetsbaarheden treffen versies tot en met 10.8.0 van Abandoned Cart Pro.
CVE-2026-97657: overname van WooCommerce-accounts
Abandoned Cart Pro biedt functionaliteit om bezoekers die hun winkelwagen verlaten automatisch herinneringen te sturen.
Deze herinneringen bevatten links waarmee klanten hun eerdere winkelwagen kunnen herstellen.
Volgens Wordfence bevatte de beveiliging van deze herstellinks een combinatie van cryptografische en authenticatieproblemen.
Hierdoor kan een aanvaller met een eigen geldige herstellink onder bepaalde omstandigheden een aangepaste link vervaardigen waarmee een ander gebruikersaccount wordt geopend.
De kwetsbaarheid kan ook accounts met administratorrechten treffen wanneer die aan de voorwaarden van de aanval voldoen.
Dit maakt CVE-2026-97657 bijzonder ernstig voor webshops waarin beheerders eveneens met de winkelwagenfunctionaliteit hebben gewerkt.
CVE-2026-97668: SQL-injectie en privilege-escalatie
De tweede kritieke kwetsbaarheid bevindt zich in de verwerking van gegevens van verlaten winkelwagens.
Door onvoldoende veilige verwerking van gebruikersinvoer kan een aanvaller ongewenste SQL-instructies laten uitvoeren.
Wordfence meldt dat deze kwetsbaarheid niet alleen kan worden gebruikt voor het uitlezen van databasegegevens, maar ook voor het aanpassen van gegevens in de WordPress-database.
Bij beveiligingsonderzoek is aangetoond dat het onder specifieke omstandigheden mogelijk is om gebruikersrechten te manipuleren en administratorrechten te verkrijgen.
Hierdoor kan een aanvaller mogelijk volledige controle over de WordPress-installatie krijgen.
CVE-2026-102251: aanvullende SQL-injectie
De derde kwetsbaarheid bevindt zich eveneens in de verwerking van winkelwagenherstellinks.
Door een combinatie van manipuleerbare versleutelde gegevens en onvoldoende veilige SQL-verwerking kan een externe aanvaller database-informatie proberen te achterhalen.
Deze kwetsbaarheid heeft een CVSS-score van 7.5 en wordt als hoog risico geclassificeerd.
Welke versies zijn getroffen?
- Software: Abandoned Cart Pro for WooCommerce
- Kwetsbare versies: 10.8.0 en ouder
- Veilige versie: 10.8.1 en nieuwer
- Hoogste CVSS-score: 9.8
- Publicatiedatum: 13 oktober 2026
Ontwikkelaar Tyche Softwares heeft de beveiligingsproblemen verholpen in versie 10.8.1, uitgebracht op 8 oktober 2026.
Worden deze kwetsbaarheden actief misbruikt?
De beveiligingsproblemen zijn technisch gedocumenteerd en er zijn exploitatiemogelijkheden aangetoond tijdens beveiligingsonderzoek.
Dit betekent echter niet automatisch dat er momenteel sprake is van actieve aanvallen op grote schaal.
Op 15 oktober 2026 is daarvoor geen voldoende onderbouwde publieke bevestiging beschikbaar.
Vanwege de mogelijkheid tot accountovername en privilege-escalatie moeten de kwetsbaarheden wel als urgent worden behandeld.
Wat moeten WooCommerce-beheerders doen?
- Controleer welke versie van Abandoned Cart Pro is geïnstalleerd.
- Installeer onmiddellijk versie 10.8.1 of nieuwer.
- Controleer alle WordPress-accounts met administratorrechten.
- Onderzoek of er onverwachte wijzigingen in gebruikersrollen zijn aangebracht.
- Controleer de database op afwijkende gebruikersmetadata, waaronder ongebruikelijke records met capabilities-informatie.
- Bekijk recente WooCommerce- en webserverlogs op verdachte verzoeken naar winkelwagenherstellinks.
- Controleer bij aanwijzingen voor compromittering ook de integriteit van de websitebestanden.
Wanneer een webshop mogelijk is overgenomen, is het verstandig om actieve sessies ongeldig te maken en relevante toegangsgegevens opnieuw in te stellen.
Bij een daadwerkelijke compromittering moet daarnaast worden onderzocht of persoonsgegevens of bestelgegevens zijn ingezien of gewijzigd.
Waarom dit belangrijk is voor webshops
WooCommerce-webshops verwerken doorgaans klantgegevens, bestellingen en betalingsgerelateerde informatie.
Een aanvaller die administratorrechten verkrijgt, kan mogelijk toegang krijgen tot deze gegevens en wijzigingen aanbrengen in de webshop.
Daarom is het belangrijk om beveiligingsupdates voor webshopplugins net zo serieus te nemen als beveiligingsupdates voor WordPress zelf.
Professionele WooCommerce-hosting bij Vservs
Voor zakelijke webshops is een goed beheerde hostingomgeving een belangrijke aanvullende beveiligingslaag.
Vservs levert Managed VPS-oplossingen met serverbeheer, monitoring, back-ups en ondersteuning bij de beveiliging van zakelijke hostingomgevingen.
Bekijk onze mogelijkheden voor Managed VPS Hosting.
Conclusie
De drie beveiligingsproblemen in Abandoned Cart Pro vormen een ernstig risico voor WooCommerce-webshops die nog versie 10.8.0 of ouder gebruiken.
Met name de mogelijkheid om gebruikersaccounts over te nemen en administratorrechten te verkrijgen maakt deze kwetsbaarheden kritiek.
Installeer versie 10.8.1 of nieuwer en controleer de webshop op aanwijzingen voor ongeautoriseerde toegang.