- Yama var
- Son 7 gün
- CWE-862
CVE-2026-87837
Wava Payment eklentisinde kimlik doğrulamasız sipariş durumu değiştirme açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
WordPress için Wava Payment Plugin eklentisinin 0.3.10 sürümünden önceki sürümleri, gelen ödeme sağlayıcısı bildirimlerinin özgünlüğünü doğrulamaz ve bu bildirimleri kimlerin gönderebileceğini kısıtlamaz. Bu nedenle kimlik doğrulaması yapılmamış saldırganlar, mağazadaki herhangi bir WooCommerce siparişinin durumunu değiştirebilir; ödenmemiş bir siparişi ödenmiş ve tamamlanmış olarak işaretleyebilir veya diğer müşterilerin siparişlerini iptal edebilir.
0.3.7 sürümüne kadar olan sürümlerde ise yanıt, etkilenen siparişin fatura bilgilerini de döndürür; bu da müşteri adlarının, adreslerinin, e-posta adreslerinin ve telefon numaralarının aynı kimlik doğrulaması yapılmamış çağrı yapana ifşa edilmesine yol açar.
Kaynaktaki açıklama (İngilizce)
The Wava Payment Plugin WordPress plugin before 0.3.10 does not verify the authenticity of incoming payment-provider notifications, nor restrict who may send them, allowing unauthenticated attackers to change the status of any WooCommerce order in the store, including marking an unpaid order as paid and completed, and cancelling other customers' orders.
In versions up to 0.3.7 the response additionally returns the affected order's billing details, disclosing customer names, addresses, email addresses and phone numbers to the same unauthenticated caller.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Wava Payment Plugin | ≥ 0.3.1, < 0.3.10 | 0.3.10 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/76da1b69-aa79-4e9e-a97a-bbaefdeb65fe İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.