CVE-2026-2892
Açıklama
WordPress için geliştirilen Otter Blocks eklentisi, 3.1.4 sürümü dahil tüm önceki sürümlerde Satın Alma Doğrulaması Atlatma (Purchase Verification Bypass) zafiyetine sahiptir. Bu durum, 'get_customer_data' metodunun, kimliği doğrulanmamış kullanıcılar için Stripe ürün sahipliğini belirlemek amacıyla imzalanmamış bir 'o_stripe_data' çerezine güvenmesinden kaynaklanmaktadır. 'check_purchase' metodu, tek seferlik 'payment' modu satın alımları için Stripe API üzerinden sunucu tarafı doğrulaması yapmadan bu çerez verilerine güvenmektedir. Bu durum, kimliği doğrulanmamış saldırganların, ödeme bloğunun HTML kaynağında herkese açık olarak bulunan hedef ürün kimliğini kullanarak 'o_stripe_data' çerezini taklit etmelerine ve böylece Stripe satın alma kısıtlamalı içerik görünürlük koşullarını atlatmalarına olanak tanımaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| themeisle Otter Blocks – Gutenberg Blocks, Page Builder for Gutenberg Editor & FSE | v ≤ 3.1.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.