Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-863

CVE-2026-119747

GetPaid WordPress eklentisinde REST API üzerinden yetkisiz erişim (2.8.63 öncesi)

AyeCode Ltd Payment forms, Buy now buttons, and Invoicing System | GetPaid

Yüksek 7,1 CVSS 3.1
Yayımlandı
Güncellendi
5 Kas 2026
Açık yaşı
0 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, sitenizde görece düşük yetkili personelin fatura kayıtlarını görmesine ve ödeme durumunu değiştirmesine olanak tanıyabilir. Bu durum gelir kaybı ve muhasebe kayıtlarında güvenilirlik sorunlarına yol açabilir. Eklentinin güncellenmesi öncelikli olarak yapılmalıdır.

ÖzetTürkçe

GetPaid WordPress eklentisinin 2.8.63 sürümünden önceki sürümlerinde, REST API üzerindeki yetki denetimi hatalıdır. check_post_permissions metodu işlemleri eklentinin kendi manage_invoicing yetkisi yerine genel WordPress yazı yetkilerine bağlamaktadır. Bu durum, eklentinin kullanıldığı tüm WordPress sitelerini etkiler.

Saldırgan ne yapabilir?

Editör veya Yazar gibi düşük yetkili oturum açmış bir kullanıcı, başkalarına ait faturaları listeleyebilir, bekleyen faturaları ödeme kaydı oluşturmadan ödenmiş olarak işaretleyebilir ve yayımlanmış öğeler ile yeni faturalar oluşturabilir.

Kaynaktaki açıklama (İngilizce)

The GetPaid plugin for WordPress before 2.8.63 contains an incorrect authorization vulnerability where the check_post_permissions() method in includes/api/class-getpaid-rest-posts-controller.php maps REST operations to generic WordPress post capabilities instead of enforcing the plugin's manage_invoicing permission. Authenticated users with lower-privileged roles such as Editor or Author can exploit this flaw to list other users' invoices, mark pending invoices as paid without recording payment transactions, or create published items and new invoices through the REST API.

Ne yapmalı?

  1. GetPaid eklentisini 2.8.63 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme sonrasında fatura kayıtlarını ve bekleyen faturaların ödeme durumlarını kontrol edin; ödeme kaydı olmadan ödenmiş işaretlenmiş faturaları inceleyin. Genel öneri
  3. Editör ve Yazar rollerindeki kullanıcı listesini gözden geçirin ve gereksiz hesapları kaldırın veya yetkilerini düşürün. Genel öneri

Ek önlemler

  • Eklenti güncellemelerini düzenli olarak takip edin ve mümkünse otomatik güncellemeleri etkinleştirin. Genel öneri
  • Fatura ve ödeme işlemleri için ayrı, yalnızca gerekli yetkilere sahip yönetici hesapları kullanın. Genel öneri
  • REST API isteklerini ve beklenmedik fatura durumu değişikliklerini izleyen kayıt (log) mekanizması kurun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
AyeCode Ltd Payment forms, Buy now buttons, and Invoicing System | GetPaid < 2.8.63 2.8.63

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.