CVE-2026-57857
Açıklama
WordPress için Flow Payment eklentisinin (flow.cl) 3.0.8 sürümü, WooCommerce ödeme sayfasında yansıtılmış siteler arası betik çalıştırma (XSS) zafiyetine sahiptir. Eklenti bir sipariş iptalini işlediğinde, error_message GET parametresi; giriş temizleme (örneğin sanitize_text_field()) veya çıktı kaçış karakterleri ekleme (örneğin esc_html()) işlemleri yapılmadan, ödeme bildirimi HTML'inde oluşturulmadan önce flowpayment-fl.php dosyasındaki (satır 57-58) wc_add_notice() fonksiyonuna doğrudan aktarılır. Kimliği doğrulanmamış bir saldırgan, error_message parametresinde bir JavaScript yükü içeren özel bir URL oluşturabilir (örneğin /checkout/?add-to-cart={product-id}&cancel_order=true&error_message={payload}); aktif bir WooCommerce ödeme oturumu olan bir kurban bu bağlantıyı takip ettiğinde, yük kurbanın tarayıcısında WordPress sitesinin kökeninde çalıştırılır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Flow Flow Payment | v ≤ 3.0.8 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.