- Yama var
- Son 7 gün
- CWE-862
CVE-2026-113813
PayPlug for WooCommerce eklentisinde yetkisiz sipariş silme, değiştirme ve okuma açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- WPScan
Yönetici özeti
Bu açık, çevrimiçi ödeme eklentisi üzerinden alınmış siparişlerin kayboluşuna veya bozulmasına yol açabilir; bu da müşteri memnuniyetini ve gelir kaydını doğrudan etkiler. Saldırı için herhangi bir hesap gerekmediğinden risk yüksektir ve eklentinin güncellenmesi acildir.
ÖzetTürkçe
PayPlug for WooCommerce (Official) WordPress eklentisinin 2.8.0 ile 3.1.1 öncesi sürümlerinde, sipariş kimliğini istemciden alan bazı AJAX işlemleri yetki ve sahiplik kontrolü yapmadan çalıştırılmaktadır. Bu nedenle kimlik doğrulaması yapılmamış bir saldırgan, WooCommerce sipariş kayıtlarını görüntüleyebilir, değiştirebilir veya kalıcı olarak silebilir. Etkilenen sürümü kullanan tüm WooCommerce mağazaları risk altındadır.
Saldırgan ne yapabilir?
Saldırgan oturum açmadan başkalarına ait sipariş içeriklerini okuyabilir, sipariş bilgilerini değiştirebilir ve siparişleri kalıcı olarak silebilir.
Kaynaktaki açıklama (İngilizce)
The PayPlug for WooCommerce (Official) WordPress plugin before 3.1.1 does not perform any capability or ownership check on a set of unauthenticated AJAX actions that operate on a caller-supplied order identifier, allowing unauthenticated attackers to modify, read the contents of, and permanently delete arbitrary WooCommerce orders.
Ne yapmalı?
- PayPlug for WooCommerce eklentisini 3.1.1 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncellemeden sonra sipariş kayıtlarında beklenmeyen silme, değişiklik veya okuma izlerini kontrol edin ve gerekiyorsa yedeklerden geri yükleyin. Genel öneri
- Güncelleme yapılana kadar eklentinin kullanımını geçici olarak durdurmayı veya erişimi ağ düzeyinde kısıtlamayı değerlendirin. Genel öneri
Ek önlemler
- Sipariş veritabanını ve WooCommerce yedeklerini düzenli olarak alın ve geri yükleme işlemini test edin. Genel öneri
- Sunucu erişim günlüklerinde eklentinin AJAX uç noktalarına yönelik olağandışı istekleri izleyin. Genel öneri
- Kullanılmayan WordPress eklentilerini kaldırın ve tüm eklentileri düzenli olarak güncel tutun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| PayPlug for WooCommerce (Official) | ≥ 2.8.0, < 3.1.1 | 3.1.1 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/6decb385-7cc9-42d7-a079-0a96d1f697fc İstismar kodu ya da analiz
Kayıt geçmişi
- CVSS puanı değişti: – → 6.5
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.