Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-287

CVE-2026-120538

Easy Digital Downloads eklentisinde PayPal ödeme akışında yönetici hesabı ele geçirme açığı

smub Easy Digital Downloads – eCommerce Payments and Subscriptions made easy

Yüksek 8,1 CVSS 3.1
Yayımlandı
Güncellendi
3 Kas 2026
Açık yaşı
0 gün
Kaydı açan
Wordfence

Yönetici özeti

Bu açık, internet sitenizin yönetici hesabının bir saldırgan tarafından ele geçirilmesine yol açabilir. Saldırgan, sitenin tamamını ve üzerindeki müşteri bilgilerini kontrol edebilir. Eklentinin ödeme sistemi kullanılan siteler için acil önlem alınması gerekmektedir.

ÖzetTürkçe

Easy Digital Downloads WordPress eklentisinin 3.7.2 dahil olmak üzere tüm sürümlerinde, misafir ödemesi sırasında girilen e-posta adresi kimlik kanıtı olarak güvenilir kabul edilmektedir. Eklenti, bu e-posta adresiyle eşleşen mevcut bir WordPress kullanıcısını siparişe bağlamakta ve PayPal ödeme tamamlama adımında bu kullanıcı için oturum açmaktadır. Yönetici e-posta adresiyle misafir ödemesi başlatan bir saldırgan yönetici oturumunu ele geçirebilir.

Saldırgan ne yapabilir?

Kimlik doğrulaması yapılmamış bir saldırgan, hedef yöneticinin e-posta adresini kullanarak PayPal ödeme akışını tamamlayabilir ve yönetici yetkisiyle oturum açabilir. Bu da sitenin tam kontrolünün ele geçirilmesi anlamına gelir.

Kaynaktaki açıklama (İngilizce)

The Easy Digital Downloads plugin for WordPress is vulnerable to authentication bypass leading to administrator account takeover in all versions up to, and including, 3.7.2. During a PayPal guest checkout, the email address entered in the guest-checkout field is trusted as proof of identity: edd_get_purchase_form_user() binds the new guest order to an existing WordPress user purely on an email-address match, rewriting the order's user_id to that user's ID. The PayPal capture sink PurchaseUser::maybe_log_in_after_capture() then looked the user up by the order email (get_user_by( 'email', $order->email )) and, when $order->user_id equalled that user's ID (which the email-binding step guarantees), issued an authenticated session with wp_set_auth_cookie(). An unauthenticated attacker who starts a guest checkout using an administrator's email address (where that administrator has no existing EDD customer record) and completes the PayPal purchase flow therefore receives an authenticated session as that administrator — a full account takeover. The same sink is reachable through the standard PayPal checkout and the REST UnbrandedCard and Fastlane flows.

Ne yapmalı?

  1. Easy Digital Downloads eklentisini 3.7.2 sürümünden daha yeni bir sürüme güncelleyin; düzeltilmiş sürüm için satıcının duyurusunu kontrol edin. Genel öneri
  2. Güncelleme yapılana kadar PayPal ile misafir ödemesi özelliğini geçici olarak devre dışı bırakmayı değerlendirin. Genel öneri
  3. Yönetici hesaplarının e-posta adreslerini ve son oturum açma kayıtlarını inceleyin; tanımadığınız oturumları sonlandırın ve yönetici parolalarını değiştirin. Genel öneri

Ek önlemler

  • Yönetici hesapları için iki faktörlü kimlik doğrulama kullanın. Genel öneri
  • Yönetici hesaplarına ait e-posta adreslerinin müşteri kayıtlarıyla çakışmadığından emin olun. Genel öneri
  • Sıra dışı yönetici oturumu açmalarını ve yeni yönetici hesabı oluşturulmasını izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
smub Easy Digital Downloads – eCommerce Payments and Subscriptions made easy ≤ 3.7.2 –

Kaynaklar9 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.