- Yama var
- Son 7 gün
- CWE-1284
CVE-2026-119749
GetPaid WordPress eklentisinde negatif miktar ile ödeme atlatma açığı
AyeCode Ltd Payment forms, Buy now buttons, and Invoicing System | GetPaid
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, çevrimiçi satış yapan işletmelerde saldırganların ödeme yapmadan sipariş tamamlamasına izin verebilir ve doğrudan gelir kaybına yol açabilir. Etkilenen sürümü kullanan siteler için güncelleme öncelikli bir iş olarak ele alınmalıdır.
ÖzetTürkçe
GetPaid WordPress eklentisinin 2.8.63 sürümünden önceki sürümlerinde, ürün miktarı için girdi doğrulaması yapılmadığı tespit edilmiştir. Kimlik doğrulaması yapılmamış bir saldırgan, herkese açık ödeme formuna negatif bir miktar göndererek fatura toplamını sıfıra düşürebilir. Bu durumda fatura gerçek bir ödeme alınmadan ödenmiş olarak işaretlenmektedir.
Saldırgan ne yapabilir?
Saldırgan, herhangi bir ödeme yapmadan faturayı ödenmiş olarak işaretletebilir ve ürün veya hizmetleri bedelsiz elde edebilir. Açık, sistemdeki ödeme kayıtlarının bütünlüğünü bozar.
Kaynaktaki açıklama (İngilizce)
The GetPaid plugin for WordPress before 2.8.63 contains an improper input validation vulnerability that allows unauthenticated attackers to bypass payment processing by submitting a negative item quantity on a public payment form. Attackers can exploit the unchecked quantity value in process_item() to produce a negative line subtotal that reduces the invoice total to zero, causing process_free_payment() to mark the invoice as paid without any actual gateway charge.
Ne yapmalı?
- GetPaid eklentisini 2.8.63 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme sonrasında ödeme formlarını test ederek negatif veya sıfır miktarla işlem yapılamadığını doğrulayın. Genel öneri
- Güncelleme yapılana kadar, ödeme formlarını geçici olarak kullanıma kapatmayı veya ödemesiz tamamlanan faturaları manuel olarak inceleyip doğrulamayı değerlendirin. Genel öneri
Ek önlemler
- Ödeme kayıtlarında gerçek bir ödeme sağlayıcısı işlemi olmadan ödenmiş görünen faturaları düzenli olarak kontrol edin. Genel öneri
- Ödeme formlarındaki miktar alanları için sunucu tarafında pozitif tam sayı doğrulaması uygulandığından emin olun. Genel öneri
- Eklenti güncellemelerini takip ederek kritik güvenlik sürümlerini gecikmeden uygulayın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| AyeCode Ltd Payment forms, Buy now buttons, and Invoicing System | GetPaid | < 2.8.63 | 2.8.63 |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.