- Son 7 gün
- CWE-345
CVE-2026-118377
mews/pos'ta 3D Pay ve 3D Host geri çağrılarında hash doğrulaması eksik
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, online ödeme alan işletmelerde ödeme yapılmadan sipariş onaylanabilmesi riskini doğurur ve doğrudan gelir kaybına yol açabilir. Etkilenen sürümü kullanan sistemler için öncelikli olarak ele alınması gereken bir durumdur. Kısa sürede güvenlik düzeltmesinin uygulanması veya geçici önlemlerin alınması önerilir.
ÖzetTürkçe
mews/pos kütüphanesinin 2.0.0 ve öncesi sürümlerinde, GarantiPos, PayForPos ve InterPos sağlayıcılarının 3D Pay ve 3D Host geri çağrı işleyicileri, gelen verilerin özgünlüğünü doğrulayan check3DHash kontrolünü atlamaktadır. Bu nedenle sistem, ödeme sağlayıcısından gelmiş gibi görünen sahte sonuç bildirimlerini kabul edebilmektedir. Etkilenen sistemler, bu kütüphaneyle sanal pos entegrasyonu yapan web sitelerini ve uygulamaları kapsamaktadır.
Saldırgan ne yapabilir?
Kimliği doğrulanmamış bir saldırgan, durum, tutar veya sipariş numarası gibi alanları değiştirerek sahte bir ödeme sonucu gönderebilir ve ödeme yapmadan siparişleri tamamlatabilir.
Kaynaktaki açıklama (İngilizce)
mews/pos through 2.0.0 contains an insufficient verification of data authenticity vulnerability that allows unauthenticated attackers to forge payment results by submitting unverified callbacks. GarantiPos, PayForPos and InterPos 3D Pay and 3D Host handlers skip check3DHash(), letting attackers post tampered status, amount or order ID fields to complete orders without paying.
Ne yapmalı?
- Sağlayıcının belirttiği düzeltilmiş sürüme geçilmesi için veri kaynaklarında belirtilmiş bir sürüm bilgisi bulunmamaktadır; kütüphanenin güncel sürümleri ve resmi depo duyuruları takip edilmelidir. Genel öneri
- Düzeltme yayımlanana kadar, 3D Pay ve 3D Host geri çağrı uç noktalarına gelen isteklerde ödeme sağlayıcısına ait hash doğrulamasının uygulamada etkin olup olmadığı kontrol edilmeli ve gerekiyorsa sipariş onayı yalnızca sağlayıcıdan doğrulanmış bir sorgu sonucuna bağlanmalıdır. Genel öneri
- Geri çağrı uç noktalarına yalnızca ödeme sağlayıcısının IP adreslerinden erişime izin verilecek şekilde erişim kısıtlaması uygulanmalıdır. Genel öneri
- Tutar ve sipariş numarası gibi kritik alanlar, sipariş kaydındaki değerlerle geri çağrı sırasında karşılaştırılmalıdır. Genel öneri
Ek önlemler
- Ödeme sağlayıcısı geri çağrı günlüklerini düzenli olarak inceleyip sipariş numarası ile tutar uyuşmazlıklarını izleyin. Genel öneri
- Siparişlerin ödeme sağlayıcısı kaydıyla mutabakatını periyodik olarak yapın. Genel öneri
- Kullanılan kütüphane sürümlerini envanterde tutun ve güvenlik duyurularını takip edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| mewebstudio pos | ≤ 2.0.0 | – |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/mewebstudio/pos/pull/305 Yama
- github.com/…ommit/7c59d42bc49483c7c54999d757cb67055d9f732a Yama
- github.com/mewebstudio/pos/issues/306 Üçüncü taraf
- vulncheck.com/…h-verification-in-3d-pay-and-3d-host-callbacks Üçüncü taraf
- github.com/…7996de571943fa58d7ad/src/Gateway/PayForPos.php Diğer
- github.com/…47996de571943fa58d7ad/src/Gateway/InterPos.php Diğer
- github.com/mewebstudio/pos Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.