CVE-2026-16734
Açıklama
WP Full Pay tarafından geliştirilen Stripe Payment Forms WordPress eklentisinin 8.5.2 öncesindeki sürümleri, kimlik doğrulaması yapılmamış iki payment-form AJAX işleminin referans verdiği Stripe ödeme niyetinin (payment intent) çağırıcıya ait olduğunu doğrulamamaktadır; bu durum, ödeme formu içeren her genel sayfaya gömülü olan bir nonce kullanan kimlik doğrulaması yapılmamış bir ziyaretçinin, Stripe Payment Forms by WP Full Pay WordPress eklentisinin 8.5.2 öncesindeki sürümlerinin ardından mağazanın gizli anahtarı ile Stripe API üzerinden sunucu tarafında güncellediği bir ödeme niyetinin tutarını değiştirmesine olanak tanır. 8.5.0 sürümünde eklenen sahiplik kontrolü yalnızca tek bir payment-intent işleyicisine uygulanmış, pricing-recalculation ve payment-intent-update işlemleri tutar manipülasyonuna karşı korumasız bırakılmıştır.
Nasıl düzeltilir
- Stripe Payment Forms by WP Full Pay8.5.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Stripe Payment Forms by WP Full Pay | v < 8.5.2 | 8.5.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.