- Yama var
- Son 7 gün
- CWE-287
CVE-2026-103306
iKhokha Ödeme Ağ Geçidi eklentisinde geri çağırma yoluyla sahte ödeme bildirimi açığı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
Online Payments with iK Pay Gateway WordPress eklentisinin 3.0.4 sürümünden önceki sürümleri, varsayılan kurulumda ödeme ağ geçidi geri çağırmasının (callback) kimliğini doğru biçimde doğrulamaz. Bu durum, kimlik doğrulaması yapılmamış saldırganların sahte bir başarılı ödeme bildirimi oluşturmasına olanak tanır. Saldırganlar böylece hiçbir ödeme yapılmadan istedikleri siparişleri ödenmiş olarak işaretleyebilir ve işlenmemiş siparişleri başarısız olarak işaretleyebilir. CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N vektörüyle değerlendirilen bu açık, 5.3 puanla orta önem derecesindedir.
Kaynaktaki açıklama (İngilizce)
The Online Payments with iK Pay Gateway WordPress plugin before 3.0.4 does not properly verify the authenticity of its payment gateway callback on a default installation, allowing unauthenticated attackers to forge a successful payment notification and mark arbitrary orders as paid without any payment being made, and to mark arbitrary unprocessed orders as failed.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Online Payments with iK Pay Gateway | < 3.0.4 | 3.0.4 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/2d888e78-ed1f-4968-9bdc-19e9420f6956 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.