- Yama var
- Son 7 gün
- CWE-862
CVE-2026-106932
Moloni eklentisinde yetkisiz fatura ve sipariş işlemlerine izin veren yetki denetimi eksikliği
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
WordPress için geliştirilen Moloni eklentisinin 5.0.14 öncesi sürümleri, kimlik doğrulaması yapılmış bazı AJAX eylemlerinde yetki (capability) ve nonce denetimi gerçekleştirmiyor. Bunun yerine yalnızca sitenin harici fatura sağlayıcısıyla saklanan bir bağlantısının bulunup bulunmadığına güveniyor. Bu durum, Subscriber gibi kimlik doğrulaması yapılmış herhangi bir kullanıcının rastgele siparişler için yasal fatura oluşturmasına, rastgele siparişleri iptal etmesine ve ürün ile stok oluşturup değiştirmesine olanak tanıyor.
Kaynaktaki açıklama (İngilizce)
The Moloni WordPress plugin before 5.0.14 does not perform capability or nonce checks on several of its authenticated AJAX actions, relying only on whether the site holds a stored connection to its external invoicing provider, allowing any authenticated user such as a Subscriber to generate fiscal invoices for arbitrary orders, discard arbitrary orders, and create or modify products and stock.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Moloni | < 5.0.14 | 5.0.14 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/d76e3e03-431b-4aec-ae11-b33ee58d28f1 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.