CVE-2026-19887
Açıklama
WordPress için geliştirilen Welcart e-Commerce eklentisinin 2.12.1 dahil önceki tüm sürümleri, Telecom EDY ödeme geri çağrımındaki (usces_action_acting_transaction) güvenilmeyen girdilerin serileştirmesi (deserialization) nedeniyle PHP Object Injection zafiyetine sahiptir. Kimliği doğrulanmamış saldırganlar, genel bir ödeme işlemi sırasında rastgele 'reserve' anahtar/değer çiftlerini sipariş meta verileri olarak saklayabilir ve ardından herhangi bir sağlayıcı imzası, kaynak adresi, işlem kimliği veya sahiplik kontrolü olmaksızın bu meta verilerini seçmek ve serileştirmek için saldırgan tarafından belirlenen bir 'option' parametresi ile geri çağrımı tetikleyebilir. Eklentiyle birlikte gelen TCPDF kütüphanesinde bir POP zinciri mevcuttur, bu nedenle ek bir eklentiye veya temaya ihtiyaç duyulmaz. Bu durum, kimliği doğrulanmamış saldırganların sunucuda wp-config.php dahil olmak üzere rastgele dosyaları silmesini mümkün kılar; bu da saldırganın kontrol ettiği bir veritabanına karşı WordPress yükleyicisini yeniden çalıştırmasıyla uzaktan kod çalıştırmaya yol açabilir. Başarılı istismar, dosya silme işlemini tetiklemek için bir yöneticinin fatura yazdırmasına bağlıdır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| uscnanbu Welcart e-Commerce | v ≤ 2.12.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.