Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-94

CVE-2026-87964

Product Feed Manager for WooCommerce eklentisinde PHP kodu enjeksiyonu (8.0.26 ve öncesi)

wahid0003 Product Feed Manager for WooCommerce – CTX Feed – Support 220+ Shopping, AI & Social Channels

Yüksek 7,2 CVSS 3.1
Yayımlandı
Güncellendi
6 Kas 2026
Açık yaşı
0 gün
Kaydı açan
Wordfence

Yönetici özeti

Bu açık, mağaza yönetimi yetkisine sahip bir hesabın sunucu üzerinde tam kontrol kazanmasına olanak tanıyabilir. Bu durum veri kaybı, site kesintisi ve itibar zararı riski taşır. Eklenti kullanan siteler öncelikli olarak kontrol edilmeli ve güncellenmelidir.

ÖzetTürkçe

Product Feed Manager for WooCommerce (CTX Feed) eklentisinin 8.0.26 ve daha eski sürümlerinde, feedConfigCustom2 parametresi yeterince temizlenmeden kaydedilmekte ve besleme oluşturulurken eval ile çalıştırılmaktadır. Bu nedenle sonuç olarak PHP kodu enjeksiyonu oluşmaktadır. Saldırı için en az Mağaza Yöneticisi (Shop Manager) yetkisine sahip oturumlu bir kullanıcı gerekmektedir. Eklentinin ctxfeed_custom2_eval_enabled seçeneği varsayılan olarak açık gelmektedir.

Saldırgan ne yapabilir?

Saldırgan, Mağaza Yöneticisi yetkisinin ötesine geçerek sunucuda keyfi PHP kodu çalıştırabilir; bu da uzaktan kod çalıştırma ve sitenin tamamen ele geçirilmesi anlamına gelir.

Kaynaktaki açıklama (İngilizce)

The Product Feed Manager for WooCommerce – CTX Feed – Support 220+ Shopping, AI & Social Channels plugin for WordPress is vulnerable to PHP Code Injection in all versions up to, and including, 8.0.26. This is due to insufficient sanitization of the feedConfigCustom2 parameter — only wp_unslash() is applied before the value is stored verbatim via update_option(), and during feed generation the Custom2Template::evaluate_return() method passes the stored {(return ...)} template expressions directly to PHP's eval() function without any code-level sanitization. This makes it possible for authenticated attackers, with Shop Manager-level access and above, to inject and execute arbitrary PHP code on the server, escalating their privileges beyond what the role normally permits to full remote code execution and site takeover. The ctxfeed_custom2_eval_enabled option defaults to true, meaning no additional administrator configuration is required for this attack path to be exploitable out of the box.

Ne yapmalı?

  1. Eklentiyi, satıcının sağladığı düzeltilmiş sürüme (8.0.26'dan sonraki bir sürüme) güncelleyin. Ayrıntılar için eklentinin resmi kaynağını kontrol edin. Genel öneri
  2. Güncelleme yapılana kadar eklentiyi devre dışı bırakmayı veya Mağaza Yöneticisi hesaplarını gözden geçirip gereksiz yetkileri kaldırmayı değerlendirin. Genel öneri
  3. Yönetici panelindeki eklenti ayarlarında ctxfeed_custom2_eval_enabled seçeneğinin durumunu kontrol edin ve bu özelliğe ihtiyacınız yoksa kapalı tutun. Genel öneri
  4. Mağaza Yöneticisi ve daha yüksek yetkili hesapların kimlik bilgilerini değiştirin ve şüpheli oturumları inceleyin. Genel öneri

Ek önlemler

  • Yetki vermeyi en az ayrıcalık ilkesine göre yapın ve yönetici rollerini düzenli olarak denetleyin. Genel öneri
  • Yetkisiz dosya değişikliklerine ve beklenmeyen PHP dosyalarına karşı dosya bütünlüğü izlemesi yapın. Genel öneri
  • Yönetici paneline yapılan işlemlerin kayıtlarını tutun ve olağandışı ayar değişikliklerini izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
wahid0003 Product Feed Manager for WooCommerce – CTX Feed – Support 220+ Shopping, AI & Social Channels ≤ 8.0.26 –

Kaynaklar14 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.