Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-502

CVE-2026-109220

PDF Invoice for WooCommerce eklentisinde kimliği doğrulanmamış PHP nesne enjeksiyonu (uzaktan kod çalıştırma)

addonsorg PDF Invoice for WooCommerce + Drag and Drop Template Builder

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
31 Eki 2026
Açık yaşı
1 gün
Kaydı açan
Wordfence

Yönetici özeti

Bu açık, internet üzerinden herkesin sisteminize sızıp kontrolü ele geçirebilmesine olanak tanıyan kritik bir risktir. Etkilenen web sitelerinde müşteri verileri ve iş süreçleri tehlikeye girebilir. Eklentiyi hemen güncellemek veya güvenli bir sürüme geçmek için acil önlem almanız önerilir.

ÖzetTürkçe

PDF Invoice for WooCommerce + Drag and Drop Template Builder eklentisinin 7.1.1 ve önceki sürümlerinde, 'customer_note' ödeme alanındaki girdi yeterince temizlenmediği için PHP nesne enjeksiyonu açığı bulunmaktadır. Bu alan fatura HTML'ine doğrudan eklendiği, işlenip ham veriye dönüştürüldüğü ve doğrulama yapılmadan unserialize ile işlendiği için bu açık tetiklenebilir. Açık, varsayılan kurulumda kimliği doğrulanmamış kullanıcılar tarafından istismar edilebilir.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması yapmadan sunucuda kendi kodunu çalıştırabilir; bu da sunucunun ve sitedeki verilerin tam olarak ele geçirilmesi anlamına gelir.

Kaynaktaki açıklama (İngilizce)

The PDF Invoice for WooCommerce + Drag and Drop Template Builder plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 7.1.1 via the 'customer_note' parameter parameter. This is due to insufficient sanitization of the customer_note checkout field, which is inlined verbatim into invoice HTML, entity-decoded back into a live tag by simplehtmldom, reassembled into raw bytes by mPDF, and passed to unserialize() in _getObjAttr without validation. This makes it possible for unauthenticated attackers to execute code on the server. An unauthenticated attacker can trigger the vulnerable code path on a default install by placing an anonymous WooCommerce checkout via the public Store API (POST /wc/store/v1/checkout) using a Direct Bank Transfer or cheque payment method, which automatically transitions the order to 'on-hold' status and fires the plugin's invoice-generation hook.

Ne yapmalı?

  1. Eklentiyi 7.1.1 sürümünden daha yeni, güvenlik düzeltmesi içeren bir sürüme güncelleyin. Kesin düzeltilmiş sürüm bilgisi bu kayıtta belirtilmemiştir; eklentinin resmi sayfasından en son sürümü kontrol edin. Genel öneri
  2. Güncelleme yapılana kadar eklentiyi devre dışı bırakmayı veya ödeme sürecinde 'customer_note' alanına yönelik istekleri filtrelemeyi değerlendirin. Genel öneri
  3. Güncelleme sonrasında sitenizde beklenmeyen dosya, yönetici hesabı veya zamanlanmış görev olup olmadığını kontrol edin; şüpheli bir durum varsa sunucuyu temiz bir kaynaktan yeniden kurmayı düşünün. Genel öneri

Ek önlemler

  • Sunucu erişim ve web sunucusu günlüklerini, özellikle Store API ödeme isteklerini (POST /wc/store/v1/checkout) inceleyerek olağandışı istekleri tespit edin. Genel öneri
  • Kullanılmayan WordPress eklentilerini kaldırın ve kalan eklentilerin düzenli olarak güncellendiğinden emin olun. Genel öneri
  • PHP çalıştırma yetkilerini ve dosya sistemi izinlerini en düşük gerekli seviyede tutarak bir saldırının etkisini sınırlayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
addonsorg PDF Invoice for WooCommerce + Drag and Drop Template Builder ≤ 7.1.1 –

Kaynaklar10 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.