- Son 7 gün
- CWE-347
CVE-2026-103325
TiendaCrypto para WooCommerce eklentisinde webhook HMAC doğrulama atlatma ile sipariş ödeme sahteciliği
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- WPScan
Yönetici özeti
Bu açık, mağazanızdaki siparişlerin gerçek ödeme yapılmadan ödenmiş gibi gösterilmesine izin verebilir ve doğrudan finansal kayıp riski doğurur. Risk orta-düşük seviyede görünse de, kripto ödeme kullanan çevrimiçi satış yapan işletmeler için düzeltmeyi kısa sürede yapmak önemlidir.
ÖzetTürkçe
TiendaCrypto para WooCommerce WordPress eklentisinin 1.2.1 sürümüne kadar olan sürümleri, ödeme webhook isteklerinin imzasını boş olması gereken bir anahtara karşı doğrulamaktadır. Bu nedenle kimlik doğrulaması yapmamış saldırganlar sahte webhook bildirimleri gönderebilir. Etki, istek başlıklarının büyük/küçük harf duyarlılığını koruyan web sunucularında ortaya çıkmaktadır.
Saldırgan ne yapabilir?
Saldırgan, herhangi bir WooCommerce siparişini ödenmiş olarak işaretleyebilir ve gerçek bir ödeme yapılmadan siparişlerin tamamlanmasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
The TiendaCrypto para WooCommerce WordPress plugin through 1.2.1 does not correctly verify the authenticity of its payment webhook, validating the request signature against a key that is always empty, which allows unauthenticated attackers to forge webhook notifications and mark arbitrary WooCommerce orders as paid on web servers that preserve request header case.
Ne yapmalı?
- Eklentiyi 1.2.1 sürümünden daha yeni bir sürüme güncelleyin; eklenti sağlayıcısının sunduğu düzeltilmiş sürüm mevcut değilse bu güncellemeyi yapamazsınız. Genel öneri
- Eklenti sağlayıcısının düzeltilmiş bir sürüm yayınlayıp yayınlamadığını kontrol edin ve yayınlandığında hemen kurun. Genel öneri
- Düzeltme yayınlanana kadar eklentinin ödeme webhook uç noktasına erişimi web sunucusu veya güvenlik duvarı kuralları ile kısıtlayın; yalnızca ödeme sağlayıcısının bildirdiği kaynaklara izin verin. Genel öneri
- Sipariş durumu değişikliklerini ödeme sağlayıcısı panelindeki gerçek işlemlerle karşılaştırarak olağandışı "ödendi" işaretli siparişleri inceleyin. Genel öneri
Ek önlemler
- Webhook uç noktasına gelen istekleri ve sipariş durum değişikliklerini günlüklerde izleyin. Genel öneri
- Ödeme sağlayıcısından gelen bildirimlerin gerçekten bu sağlayıcıdan geldiğini doğrulayan ek kontroller (örneğin sipariş tutarı ve kimliğinin sağlayıcı tarafında teyidi) uygulayın. Genel öneri
- Kullanılmayan WordPress eklentilerini kaldırın ve düzenli olarak güncelleme yapın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| TiendaCrypto para WooCommerce | ≥ 1.0.1, ≤ 1.2.1 | – |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/d19c174c-0032-4f5d-b9be-c4f690e4c8ca İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.