- Yama var
- Son 7 gün
- CWE-345
CVE-2026-121620
CoopCycle coopcycle-web 5.6.0 before 6.20.0 Missing Zelty Webhook Signature Verification
Orta
6,5
CVSS 3.1
- Yayımlandı
- Güncellendi
- 4 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Özet
Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.
CoopCycle coopcycle-web 5.6.0 before 6.20.0 contains a missing authentication vulnerability that allows unauthenticated attackers to forge Zelty webhook events because the x-zelty-hmac-sha256 HMAC signature is never verified. Attackers can POST forged dish, menu, option and order-status events to /api/zelty/webhook/* endpoints to toggle restaurant products and alter order preparation states.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| coopcycle-web | ≥ 5.6.0, < 6.20.0 | 6.20.0 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/9b499950d433ca8ba894996d6b17f49885ca9485 Yama
- vulncheck.com/…0-missing-zelty-webhook-signature-verification Üçüncü taraf
- github.com/coopcycle/coopcycle-web/releases/tag/v6.20.0 Diğer
- github.com/…web/blob/v6.19.1/config/packages/security.yaml Diğer
- github.com/…rc/Integration/Zelty/ZeltyCatalogProcessor.php Diğer
Kayıt geçmişi
- Yayımlandı