- Yama var
- Son 7 gün
- CWE-79
CVE-2026-105972
Menu Cart for WooCommerce eklentisinde kimlik doğrulaması gerektirmeyen kalıcı XSS açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- WPScan
Yönetici özeti
Bu açık, internet üzerinden herhangi biri tarafından kimlik doğrulaması olmadan istismar edilebilir ve yönetici hesaplarını hedef alabilir. Başarılı bir saldırı, mağaza yönetiminin ele geçirilmesine ve müşteri bilgilerinin riske girmesine neden olabilir. Bu nedenle eklentinin hemen güncellenmesi önerilir.
ÖzetTürkçe
Menu Cart for WooCommerce WordPress eklentisinin 3.2.1 sürümü öncesi, sepet öğesi varyasyon verilerini çıktılamadan önce temizlemez ve kaçışlamaz. Bu nedenle kimliği doğrulanmamış bir kullanıcı, sepet kayan panelinde görüntülenen zararlı bir betik kaydedebilir. Bu betik, oturum açmış yönetici dahil başka kullanıcıların tarayıcısında çalıştırılabilir. Eklentiyi kullanan WooCommerce mağazaları etkilenir.
Saldırgan ne yapabilir?
Saldırgan, hedef kullanıcının oturumunda keyfi betik çalıştırarak oturum bilgilerini ele geçirebilir veya yönetici hesabı üzerinden yönetici işlemleri gerçekleştirebilir. Bu, site içeriğinin ve müşteri verilerinin değiştirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
The Menu Cart for WooCommerce WordPress plugin before 3.2.1 does not sanitise and escape cart item variation data before outputting it in its cart slide-out, allowing unauthenticated users to store a Cross-Site Scripting payload that can be delivered to and executed in the session of another user, including a logged-in administrator.
Ne yapmalı?
- Menu Cart for WooCommerce eklentisini 3.2.1 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme sonrası sitenizin yönetici panelinde ve sepet panelinde şüpheli betik içeren kayıtlar olup olmadığını kontrol edin. Genel öneri
- Yöneticilerin oturumlarını kapatıp yeniden giriş yapmalarını sağlayın ve yönetici parolalarını değiştirin. Genel öneri
Ek önlemler
- Kullanılmayan eklentileri kaldırın ve tüm eklentileri düzenli olarak güncel tutun. Genel öneri
- Yönetici hesapları için çok faktörlü kimlik doğrulama kullanın. Genel öneri
- Tarayıcı güvenlik politikalarında içerik güvenlik politikası (CSP) gibi ek katmanları değerlendirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Menu Cart for WooCommerce | < 3.2.1 | 3.2.1 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/579936d7-183f-4b25-acfd-b15f43eb573c İstismar kodu ya da analiz
Kayıt geçmişi
- CVSS puanı değişti: – → 7.5
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.