- Son 7 gün
- CWE-200
CVE-2026-93389
LiteSpeed Cache eklentisinde WooCommerce sepet/ödeme yanıtlarının önbelleğe alınması nedeniyle bilgi sızıntısı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, müşterilerinizin alışveriş sepeti ve ödeme bilgilerinin kimliği belirsiz kişilerce görülebilmesine yol açabilir. Kişisel verilerin sızması hem yasal yükümlülükler hem de müşteri güveni açısından ciddi bir iş riski oluşturur. Etkilenen sürümü kullanan siteler için güncelleme veya geçici önlem hızla planlanmalıdır.
ÖzetTürkçe
LiteSpeed Cache WordPress eklentisinin 7.9.1 ve öncesi sürümlerinde, REST önbelleği etkinken WooCommerce Store API sepet ve ödeme GET yanıtları herkese açık önbellek nesnesi olarak saklanmaktadır. Önbellek, Cart-Token ya da WooCommerce oturumuna göre ayrıştırılmadığı için bir alışverişçiye ait kişiselleştirilmiş yanıt, çerez ve token taşımayan sonraki istemcilere sunulabilir. Etkilenen siteler WooCommerce kullanan ve bu eklentinin ilgili sürümünü çalıştıran sitelerdir.
Saldırgan ne yapabilir?
Kimliği doğrulanmamış bir saldırgan, başka bir alışverişçinin ad, adres, e-posta ve telefon gibi fatura ve teslimat bilgilerini, sepet içeriğini ve tutarlarını okuyabilir. Ayrıca canlı Cart-Token oturum JWT'si ve nonce değerini ele geçirerek sepet ve ödeme oturumunu devralabilir.
Kaynaktaki açıklama (İngilizce)
The LiteSpeed Cache plugin for WordPress is vulnerable to unauthenticated disclosure of sensitive WooCommerce customer data in all versions up to, and including, 7.9.1 With Cache REST enabled (the shipped default cache-rest=1), LiteSpeed stores WooCommerce Store API GET responses (/wc/store/v1/cart and /wc/store/v1/checkout) as PUBLIC cache objects and does not vary the cache on the Cart-Token or WooCommerce session. A shopper's personalized cart/checkout response is therefore served to any later, cookie-less and token-less client as an LSCache HIT. This makes it possible for unauthenticated attackers to read another shopper's billing and shipping details (name, company, street address, email, phone), cart contents and totals, and the shopper's live Cart-Token session JWT and nonce (enabling cart/checkout-session hijack), plus order_key on the checkout endpoint.
Ne yapmalı?
- LiteSpeed Cache eklentisini 7.9.1'den daha yeni, açığı kapatan bir sürüme güncelleyin. Mevcut bir düzeltilmiş sürüm bilgisi veri kaynağında belirtilmediği için güncel sürümü eklentinin resmi kaynağından doğrulayın. Genel öneri
- Güncelleme yapılana kadar eklentinin REST önbellekleme ayarını devre dışı bırakın, böylece WooCommerce Store API yanıtları önbelleğe alınmasın. Genel öneri
- Güncelleme ve ayar değişikliğinden sonra önbelleği tamamen temizleyin, çünkü daha önce saklanmış kişisel içerikli önbellek nesneleri hâlâ sunulabilir. Genel öneri
- Mümkünse, sepet ve ödeme sayfalarına ait önbellek yanıtlarının kimliği doğrulanmamış isteklere sunulup sunulmadığını test edin. Genel öneri
Ek önlemler
- Sepet, ödeme ve hesap sayfaları gibi kişiselleştirilmiş uç noktaların önbelleğe alınmasını varsayılan olarak engelleyin. Genel öneri
- Web sunucusu ve eklenti günlüklerinde sepet veya ödeme uç noktalarına yönelik olağandışı yoğun istekleri izleyin. Genel öneri
- Müşterilere, kullandıkları oturum ve ödeme bilgilerinin olası sızıntısı nedeniyle gerekirse bilgilendirme yapmayı değerlendirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| litespeedtech LiteSpeed Cache | ≤ 7.9.1 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.