- Son 7 gün
- CWE-284
CVE-2026-103298
CCAvenue Payment Gateway for WooCommerce eklentisinde sahte webhook ile sipariş ödemesinin tamamlanması
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
CCAvenue Payment Gateway for WooCommerce WordPress eklentisi 3.1 sürümüne kadar olan sürümlerde, ödeme onayı isteğinin gerçekten ödeme sağlayıcısından gelip gelmediğini doğrulamaz. Ayrıca doğrulama anahtarını varsayılan kurulumda boş olan bir değerden türetir. Bu nedenle kimliği doğrulanmamış saldırganlar sahte bir onay oluşturarak herhangi bir WooCommerce siparişini ödeme yapılmadan ödenmiş olarak işaretleyebilir.
Kaynaktaki açıklama (İngilizce)
The CCAvenue Payment Gateway for WooCommerce WordPress plugin through 3.1 does not verify that a payment-confirmation request genuinely originates from the payment provider, and derives its verification key from a value that is empty on a default install, allowing unauthenticated attackers to forge a confirmation and mark any WooCommerce order as paid without payment.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| CCAvenue Payment Gateway for WooCommerce | ≤ 3.1 | – |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/7224481a-60f8-42c2-87e9-4615ce666357 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.