CVE-2026-6627
Açıklama
WordPress için geliştirilen WPFormify – Stripe Payments with Form and Checkout eklentisinin 1.1.1 dahil tüm sürümleri, Stripe ödeme kimlik bilgilerinin yetkisiz şekilde değiştirilmesine ve silinmesine karşı savunmasızdır. Bu durum, her ikisi de `admin_init` kancasına bağlı olan `wpf_stripe_callback_success()` ve `wpf_stripe_disconnect()` fonksiyonlarında yetenek kontrollerinin ve nonce doğrulamasının eksik olmasından kaynaklanmaktadır. `admin_init` kancası, kimlik doğrulaması olmadan erişilebilen `admin-post.php` üzerinde tetiklenmektedir. Bu durum, kimliği doğrulanmamış saldırganların sitenin Stripe API kimlik bilgilerini saldırgan tarafından kontrol edilen değerlerle değiştirmesine (ödemeleri saldırganın Stripe hesabına yönlendirme) veya kayıtlı kimlik bilgilerini silerek Stripe entegrasyonunu tamamen kesmesine olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| saadiqbal WPFormify – Stripe Payments with Form and Checkout | v ≤ 1.1.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.