Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-639

CVE-2026-117605

nopCommerce yönetim paneli ürün ekleme işleyicilerinde yetkilendirme eksikliği

nopSolutions nopCommerce

Orta 4,3 CVSS 3.1
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
0 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, mağazada satıcı hesaplarından birinin başka bir satıcının ürün sayfalarına kendi ürünlerini yerleştirebilmesine olanak tanır. Müşteriler yanıltıcı ürün önerileriyle karşılaşabilir ve mağazanın güvenilirliği zarar görebilir. Risk orta düzeydedir, ancak güncelleme kolay olduğu için kısa sürede kapatılmalıdır.

ÖzetTürkçe

nopCommerce'in 5.00.0 öncesi sürümlerinde, yönetim paneli ürün denetleyicisindeki ilgili ürün, çapraz satış ürünü ve gruplu ürün ekleme pencerelerini işleyen fonksiyonlar, ana ürünün sahibinin gerçekten o satıcı olup olmadığını doğrulamaz. Bu nedenle kimliği doğrulanmış bir satıcı, başka bir satıcıya ait ürünün kimliğini kullanarak kendi ürünlerini o ürünün ilgili ürünler, çapraz satış ve gruplu ürün listelerine ekleyebilir. Etkilenen sistemler, bu özelliği kullanan 5.00.0 öncesi nopCommerce kurulumlarıdır.

Saldırgan ne yapabilir?

Saldırgan, kendi ürünlerini başka satıcıların ürün sayfalarında görünür hale getirerek mağazada yanıltıcı ürün önerileri oluşturabilir ve listeleme bütünlüğünü bozabilir. Bu zafiyet gizli veri okutma veya kayıtları silme gibi bir etki sağlamaz.

Kaynaktaki açıklama (İngilizce)

nopCommerce before 5.00.0 contains a missing authorization vulnerability in the admin ProductController RelatedProductAddPopup, CrossSellProductAddPopup and AssociatedProductAddPopup handlers that fail to verify parent product ownership. Authenticated vendors can submit another vendor's product id as model.ProductId to inject their products into the victim's related-products, cross-sell and grouped-product listings.

Ne yapmalı?

  1. nopCommerce'i 5.00.0 veya daha yeni bir sürüme yükseltin. Bu sürüm, zafiyeti gideren düzeltmeyi içerir. Üretici
  2. Güncellemeden önce sistem yedeğinin alındığından emin olun. Genel öneri
  3. Güncellemeden sonra, satıcı hesaplarının eklediği ilgili ürün, çapraz satış ve gruplu ürün kayıtlarını inceleyin ve tanımadığınız ürün bağlantılarını kaldırın. Genel öneri

Ek önlemler

  • Satıcı hesaplarının yetkilerini yalnızca gerekli işlemlerle sınırlayın ve kullanılmayan satıcı hesaplarını devre dışı bırakın. Genel öneri
  • Ürün ilişkilerindeki beklenmedik değişiklikleri düzenli olarak denetleyin veya bu alanlar için kayıt tutmayı etkinleştirin. Genel öneri
  • Yönetim paneline erişimi güçlü kimlik doğrulama ile koruyun ve yetki değişikliklerini izleyin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
nopSolutions nopCommerce < 5.00.0 5.00.0

Kaynaklar8 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.