Casso Auto-confirm Bank Transfer < 4.2.0 - Unauthenticated WooCommerce Order Payment Confirmation

Özet

Türkçe özeti henüz hazır değil; şimdilik kaynağın kendi açıklamasını gösteriyoruz.

The Casso Flow WordPress plugin before 4.2.0 does not properly authenticate incoming bank-transfer payment notifications, as the token used to verify them is empty on a default installation, allowing unauthenticated attackers to forge a notification and mark any pending WooCommerce order as paid, regardless of its payment method.

Etkilenen sürümler1 yazılım

Kaynaklar3 kaynak

• CVE.org kaydı
• NVD kaydı
• wpscan.com/…erability/2056019e-22bf-4ba1-9b3b-239a369f0219 İstismar kodu ya da analiz

Kayıt geçmişi

1. 28 Eki 2026 21:10CVSS puanı değişti: – → 5.3
2. 28 Eki 2026 09:00Yayımlandı

İlgili açıklar

• 8,6 CVE-2026-67073HCL BigFix AEX is affected by multiple security vulnerabilities.
• 5,3 CVE-2026-115255WP Roster < 2.35 - Unauthenticated Roster Member Deletion
• 5,3 CVE-2026-106003Court Reservation < 1.12.4 - Unauthenticated Reservation Type Addition and Deletion
• 7,3 CVE-2026-117512oretnom23 php-travel-agency-system employee_insert.php kısıtlanmamış dosya yükleme
• 3,5 CVE-2026-67400Nextcloud Richdocuments uygulamasında belirteç türü denetiminin eksikliği nedeniyle bilgi ifşası
• 3,5 CVE-2026-77171Nextcloud Collectives'te paylaşılan ortak alanlarda yetkisiz sayfa oluşturma