- CWE-79
CVE-2026-116409
Upsell Order Bump Offer for WooCommerce eklentisinde yansıtmalı XSS açığı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- Patchstack
Yönetici özeti
Bu açık, online mağaza kullanan işletmelerin müşteri ve yönetici hesaplarını hedef alabilecek bir risk taşımaktadır. Saldırı, kullanıcının zararlı bir bağlantıya tıklamasını gerektirse de CVSS skoru yüksek olduğundan öncelikli olarak ele alınmalıdır. Eklentinin güncellenmesi, müşteri güveninin ve mağaza verilerinin korunması açısından önemlidir.
ÖzetTürkçe
WP Swings tarafından geliştirilen Upsell Order Bump Offer for WooCommerce eklentisinin 3.1.7 ve önceki sürümlerinde, kullanıcı girdisinin web sayfası üretilirken yeterince temizlenmemesinden kaynaklanan yansıtmalı siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Açık, WooCommerce ile çalışan WordPress sitelerini etkilemektedir. Saldırının başarılı olması için kurbanın zararlı bir bağlantıyı açması gerekmektedir.
Saldırgan ne yapabilir?
Saldırgan, hazırlanmış bir bağlantı aracılığıyla kurbanın tarayıcısında keyfi betik çalıştırabilir; bu da oturum bilgilerinin çalınmasına, kullanıcı adına işlem yapılmasına veya yönlendirme ile kimlik bilgisi avlanmasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in WP Swings Upsell Order Bump Offer for WooCommerce upsell-order-bump-offer-for-woocommerce allows Reflected XSS.This issue affects Upsell Order Bump Offer for WooCommerce: from n/a through 3.1.7.
Ne yapmalı?
- Eklentiyi 3.1.7 sürümünden daha yeni, düzeltilmiş bir sürüme güncelleyin. Güncel sürüm bilgisi için eklentinin geliştiricisinin resmi kaynaklarını kontrol edin. Genel öneri
- Güncelleme yapılana kadar eklentiyi devre dışı bırakmayı veya site yöneticisi ve müşteri arayüzlerine dışarıdan gelen bağlantıların erişimini sınırlamayı değerlendirin. Genel öneri
- Güncellemeden sonra sitenin yönetici ve müşteri hesaplarında şüpheli oturum açma veya beklenmeyen işlem olup olmadığını kontrol edin. Genel öneri
Ek önlemler
- Yöneticilerin ve personelin şüpheli bağlantılara tıklamadan önce dikkatli davranması konusunda eğitim verin. Genel öneri
- Yönetici paneli için ek kimlik doğrulama ve oturum süresi sınırlamaları uygulayın. Genel öneri
- Web uygulaması güvenlik duvarı (WAF) kullanıyorsanız yansıtmalı betik enjeksiyonu kurallarını etkinleştirin ve loglarını izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| WP Swings Upsell Order Bump Offer for WooCommerce | ≤ 3.1.7 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Açıklama güncellendi
- Etkilenen sürüm bilgisi güncellendi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.