- Yama var
- Son 7 gün
- CWE-862
CVE-2026-87838
Wava Payment eklentisinde kimlik doğrulamasız satıcı kimlik bilgisi üzerine yazma açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
WordPress için geliştirilen Wava Payment Plugin eklentisinin 0.3.10 sürümünden önceki sürümleri, herhangi bir yetkilendirme, nonce veya kaynak doğrulaması yapmayan genel bir REST uç noktası içermektedir. Bu durum, kimlik doğrulaması yapılmadan saldırganların mağazanın ödemelerinin oluşturulduğu satıcı hesabını tanımlayan saklı kimlik bilgisinin üzerine yazmasına, entegrasyonu site sahibinin tamamlamadığı doğrulanmış bir duruma zorlamasına ve ödeme yönteminin mağazanın ödeme ekranından kaldırılmasına olanak tanımaktadır.
Kaynaktaki açıklama (İngilizce)
The Wava Payment Plugin WordPress plugin before 0.3.10 does not perform any authorisation, nonce or origin verification on one of its public REST endpoints, allowing unauthenticated attackers to overwrite the stored credential that identifies the merchant account the store's payments are created against, to force the integration into a verified state the site owner never completed, and to remove the payment method from the store's checkout.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Wava Payment Plugin | ≥ 0.3.1, < 0.3.10 | 0.3.10 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/96f247d7-3007-4728-9cd7-0ea52c96edb3 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.