CVE-2026-32526该漏洞存在于VillaTheme开发的Abandoned Cart Recovery for WooCommerce插件中。由于在Web页面生成时未对输入进行适当的中和处理，导致存在存储型跨站脚本（XSS）漏洞。此问题影响1.1.10及以下版本。攻击者无需认证即可利用此漏洞，通过恶意脚本影响访问受影响页面的用户，造成低级别的机密性、完整性和可用性影响。
该漏洞属于存储型跨站脚本攻击（Stored XSS）。VillaTheme的woo-abandoned-cart-recovery插件在接收并处理用户提交的数据（如 abandoned cart 相关信息）时，缺乏足够的输入验证和输出编码。攻击者可以向易受攻击的端点发送包含恶意JavaScript代码的请求。由于CVSS向量为PR:N（无需认证），任何未授权攻击者均可执行此操作。恶意载荷被存储在数据库中，当管理员或用户访问包含该数据的页面（UI:R）时，载荷在浏览器上下文中执行。由于作用域改变了（S:C），攻击者可能借此窃取敏感信息或执行未授权操作。