- Son 7 gün
- CWE-22
CVE-2026-15323
Product Designer for WooCommerce (Lumise) eklentisinde kimlik doğrulamasız dosya okuma açığı
King-Theme Product Designer for WooCommerce WordPress | Lumise
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, internet üzerinden herkesin erişebildiği bir web sitesi eklentisini etkilemekte ve saldırganların sunucudaki gizli bilgilere ulaşmasına olanak tanımaktadır. Bir iş sürecinde veri sızıntısı ve sonrasında daha ciddi saldırılar riski doğurabileceğinden acil önlem gerektirmektedir.
ÖzetTürkçe
Product Designer for WooCommerce WordPress | Lumise eklentisinin 2.1.2 sürümüne kadar olan tüm sürümlerinde, process_checkout fonksiyonu üzerinden dizin gezinme (directory traversal) açığı bulunmaktadır. Eklentinin lumise_security güvenlik belirteci, kimlik doğrulaması yapılmamış herhangi bir ziyaretçi tarafından ilgili başlatma işlemiyle kolayca alınabildiğinden saldırı için oturum açmak gerekmez. Etkilenen siteler, WooCommerce ile Lumise eklentisini kullanan WordPress kurulumlarıdır.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan sunucudaki keyfi dosyaların içeriğini okuyabilir; bu dosyalar hassas yapılandırma veya kimlik bilgileri içerebilir.
Kaynaktaki açıklama (İngilizce)
The Product Designer for WooCommerce WordPress | Lumise plugin for WordPress is vulnerable to Directory Traversal in all versions up to, and including, 2.1.2 via the process_checkout function. This makes it possible for unauthenticated attackers to read the contents of arbitrary files on the server, which can contain sensitive information. The lumise_security nonce required to reach the vulnerable /?lumise=cart endpoint is freely obtainable by any unauthenticated visitor via the /?lumise=ajax action=init handler, making this exploitable with no prior access or credentials.
Ne yapmalı?
- Eklentiyi, açığın giderildiği sürüm olarak üretici tarafından belirtilen sürüme veya daha yenisine güncelleyin. Güncel sürüm bilgisi için üreticinin resmi duyurularını kontrol edin. Genel öneri
- Güncelleme yapılana kadar Lumise eklentisini devre dışı bırakın veya kaldırın. Genel öneri
- Sunucudaki hassas dosyaların (yapılandırma dosyaları, kimlik bilgileri içeren dosyalar) olası okunmaya karşı izinlerini gözden geçirin ve gerekli olmayanları kaldırın. Genel öneri
- Web sunucusu erişim günlüklerinde lumise parametresi içeren şüpheli istekleri inceleyin ve olası bir sızıntı varsa parolaları ve API anahtarlarını değiştirin. Genel öneri
Ek önlemler
- Kullanılmayan WordPress eklentilerini kaldırın ve eklentileri düzenli olarak güncel tutun. Genel öneri
- Web uygulaması güvenlik duvarı (WAF) üzerinden dizin gezinme desenlerini içeren istekleri engelleyin. Genel öneri
- Sunucu tarafında eklentinin erişebileceği dizinleri web kök dizini ile sınırlandırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| King-Theme Product Designer for WooCommerce WordPress | Lumise | ≤ 2.1.2 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.