- Yama var
- Son 7 gün
- CWE-345
CVE-2026-115937
Craft Commerce Mollie eklentisinde kimlik doğrulaması gerektirmeyen ödeme yeniden kullanımı ödenmemiş siparişlerin ödenmiş olarak işaretlen…
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- Hackrate
ÖzetTürkçe
Mollie webhook uç noktası, saldırgan tarafından kontrol edilebilen iki bağımsız parametreyi kabul ediyor ve bunların birbiriyle ilişkili olup olmadığını hiç doğrulamıyor: commerceTransactionHash parametresi hangi Craft Commerce işleminin tamamlanacağını, id parametresi ise durumu sorgulanacak Mollie ödemesini seçiyor. Kimlik doğrulaması yapmayan bir saldırgan, tüccarın Mollie hesabına ait herhangi bir ödenmiş ödeme kimliğine sahipse bunu herhangi bir işlem hash'i ile eşleştirebilir. Commerce, Mollie'yi sorgulayıp durumun ödenmiş (paid) olduğunu görür ve hedef işlemi, gerçekte ne kadar ödendiğine bakılmaksızın o işlemin tam tutarı için başarılı olarak işaretler.
Kaynaktaki açıklama (İngilizce)
The Mollie webhook endpoint accepts two independent, attacker-controlled parameters and never verifies that they belong together:
* commerceTransactionHash — selects which Craft Commerce transaction is completed
* id — selects which Mollie payment is queried for its status
An unauthenticated attacker holding any paid Mollie payment ID from the merchant’s account can pair it with any transaction hash.
Commerce queries Mollie, sees status: paid, and marks the target transaction successful for that transaction’s full
amount, regardless of how much was actually paid.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| craftcms commerce-mollie | ≥ 2.1.1, < 4.4.3 | 4.4.3 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.