- Yama var
- Son 7 gün
- CWE-200
CVE-2026-110292
PayPlug for WooCommerce eklentisinde yetkisiz sipariş anahtarı ifşası ve sipariş iptali
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- WPScan
Yönetici özeti
Bu açık, web sitenizdeki ödeme eklentisinin müşteri siparişlerini yetkisiz kişilerin görmesine ve iptal etmesine izin verebileceğini gösteriyor. Sipariş iptalleri satış kaybına ve müşteri memnuniyetsizliğine yol açabilir. Eklentiyi hemen güncellemek, bu riski kısa sürede ortadan kaldırmak için önemlidir.
ÖzetTürkçe
PayPlug for WooCommerce (Official) WordPress eklentisinin 3.1.1 sürümünden önceki sürümleri, ödeme talebinde adı geçen WooCommerce siparişinin talep sahibine ait olup olmadığını doğrulamaz. Bu nedenle kimlik doğrulaması yapılmamış kullanıcılar, başka bir müşterinin sipariş anahtarını öğrenebilir ve ödenmemiş misafir siparişini iptal edebilir. Etkilenen sürümler 2.9.0 ile 3.1.0 arasıdır.
Saldırgan ne yapabilir?
Saldırgan, başka bir müşterinin sipariş anahtarını elde edebilir ve ödenmemiş misafir siparişini iptal ederek müşterinin alışverişini kesintiye uğratabilir.
Kaynaktaki açıklama (İngilizce)
The PayPlug for WooCommerce (Official) WordPress plugin before 3.1.1 does not verify that the requester owns the WooCommerce order named in a payment request, allowing unauthenticated users to disclose another customer's order key and cancel their unpaid guest order.
Ne yapmalı?
- PayPlug for WooCommerce eklentisini 3.1.1 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme sonrasında ödenmemiş misafir siparişlerinde beklenmedik iptal kayıtlarını ve sipariş hareketlerini kontrol edin. Genel öneri
Ek önlemler
- WordPress ve tüm eklentileri düzenli olarak güncel tutun ve kullanılmayan eklentileri kaldırın. Genel öneri
- Sipariş iptallerini ve ödeme eklentisine yapılan tekrarlı isteklerin günlüklerini izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| PayPlug for WooCommerce (Official) | ≥ 2.9.0, < 3.1.1 | 3.1.1 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/91444324-4332-489e-9e97-f371d866c20c İstismar kodu ya da analiz
Kayıt geçmişi
- CVSS puanı değişti: – → 6.5
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.