- Yama var
- Son 7 gün
- CWE-863
CVE-2026-100145
Synchrony Financing WordPress eklentisinde kimlik doğrulaması olmadan sipariş ele geçirme açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
Synchrony Financing WordPress eklentisi 1.1.2 sürümünden önce, WooCommerce siparişlerini değiştiren REST rotalarından birine gelen istekleri düzgün yetkilendirmiyor. Bu durum, kimlik doğrulaması yapılmamış saldırganların herhangi bir siparişi kendi kontrol ettikleri bir hesaba atamasına, sipariş ayrıntılarını değiştirmesine ve ilgili müşterinin kişisel verilerini okumasına olanak tanıyor.
Kaynaktaki açıklama (İngilizce)
The Synchrony Financing WordPress plugin before 1.1.2 does not properly authorise requests to one of its REST routes that modifies WooCommerce orders, allowing unauthenticated attackers to reassign any order to an account they control, tamper with its details, and read the associated customer's personal data.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Synchrony Financing | ≥ 1.0.5, < 1.1.2 | 1.1.2 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/87d37c99-1229-4747-b562-5151aa9e92f2 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.