WordPress tabanlı e-ticaret sitelerinin iki popüler eklentisinde, saldırganın hiçbir hesap açmadan sunucuya dosya yazıp kod çalıştırmasına imkân veren açıklar yamalandı. NVD kayıtlarına 7 Kasım’da giren iki açığın da CVSS puanı 9.8. Etkilenen eklentiler payever ödeme geçidi ve Printcart Store tasarım modülü.
payever eklentisinde oturum açmadan kod çalıştırma
CVE-2026-93754, payever WooCommerce Gateway eklentisinin 4.8.0 ve öncesindeki sürümlerini kapsıyor. Sorunun kaynağı, eklentinin WooCommerce API üzerinden çağrılabilen üç işlevi: payever_set_sandbox_api_keys, payever_toggle_subscription ve payever_synchronization_incoming. Bu işlevler ne kimlik doğrulaması ne yetki kontrolü ne de nonce doğrulaması yapıyor.
Zincirin kritik halkası upload_image() fonksiyonu. Fonksiyon, dışarıdan getirdiği dosyayı herkese açık yükleme klasörüne, dosya türünü kontrol etmeden ve adını saldırganın belirlediği biçimde yazıyor. Böylece kimlik doğrulaması olmayan bir saldırgan, çalıştırılabilir bir PHP dosyası bırakıp onu tarayıcıdan çağırarak sunucuda kod çalıştırabiliyor. Wordfence, açığı CWE-434 (kısıtlanmamış dosya yükleme) olarak sınıflandırıyor. Aynı hata zincirinde, sabit kodlanmış kimlik bilgileriyle yetkisiz kimlik üzerine yazma sorunu da (CWE-862 ve CWE-798) ayrıca sömürülebilir durumda.
Printcart Store’da aynı sınıf hata
CVE-2026-19803 ise Printcart Store eklentisinin 2.13.2 ve öncesindeki sürümlerinde görülüyor. Eklentinin nbu_crop_image AJAX işleyicisi, kullanıcıdan gelen url parametresini yükleme klasörünün yoluna ekliyor ama ../ dizilerini temizlemiyor. Çıktı klasörü ve dosya uzantısı da aynı saldırgan kontrollü yoldan türetiliyor.
Sonuç, yükleme klasörünün dışında istenen yere PHP içeriği yazılması ve dosya tarayıcıdan istendiğinde uzaktan kod çalıştırılması. Açık, yalnızca nbdesigner_upload_popup_style ayarı “a” (gelişmiş yükleme penceresi) olduğunda sömürülebiliyor; o durumda işleyici oturum açmamış isteklere de kayıtlı hale geliyor. Gereken nonce ise herkese açık tasarım yükleme sayfasında göründüğü için anonim bir ziyaretçi tarafından kolayca alınabiliyor.
Güncelleme ve kontrol listesi
İki açık da düzeltildi. payever 4.9.0 sürümünde yönetici işlemleri için mağaza yöneticisi yetkisi ve nonce zorunlu hale getirildi, ürün görseli içe aktarma yalnızca doğrulanmış görselleri kabul ediyor. Printcart Store tarafında 2.13.6 sürümü, tasarımcıdan ve ürün seçeneklerinden gelen dosyaları tür ve içerik bakımından kontrol ediyor; çalıştırılabilir dosyaları reddediyor, yüklenen SVG’lerdeki komut dosyalarını temizliyor.
Mağazasında bu eklentilerden biri kurulu olanların önce sürüm numarasını kontrol etmesi, ardından eklentiyi güncellemesi gerekiyor. Güncelleme sonrası yükleme klasörlerinde beklenmeyen PHP dosyası olup olmadığına bakmak, şüpheli bir dosya varsa sitenin yedeğini alıp temizlemek yerinde olur. Eklentiyi artık kullanmayanların devre dışı bırakıp silmesi, açık yüzeyini tamamen kapatır.
Deneyimini paylaş
Bir sorunun, farklı bir çözümün veya eklemek istediğin bir notun var mı? Giriş yapmadan da yazabilirsin.