- Yama var
- Son 7 gün
- CWE-200
CVE-2026-108073
SureCart eklentisinde kimlik doğrulaması olmadan özel katalog verilerinin ifşası
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
SureCart WordPress eklentisinin 4.9.5 öncesi sürümleri, REST API üzerinden tek bir upsell hunisi okunurken anonim ziyaretçinin hangi ilişkili nesneleri dahil edebileceğini kısıtlamaz ve bu nesnelerdeki özel alanları temizlemez. Bu durum, kimliği doğrulanmamış kullanıcıların fiyatlandırma, komisyon, stok, SKU ve vergi iç bilgileri gibi satıcıya özel katalog verilerini, yayımlanmamış ürünler dahil olmak üzere okumasına olanak tanır.
Kaynaktaki açıklama (İngilizce)
The SureCart WordPress plugin before 4.9.5 does not restrict which related objects an anonymous visitor may include when reading a single upsell funnel through its REST API, nor strip private fields from those objects, allowing unauthenticated users to read merchant-private catalog data such as pricing, commission, stock, SKU and tax internals, including unpublished products.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| SureCart | < 4.9.5 | 4.9.5 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/5c463bb2-0cab-499f-92af-67df02c60b5f İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.