CVE-2026-9240
Açıklama
WordPress için geliştirilen Colissimo Officiel : Méthodes de livraison pour WooCommerce eklentisinin 2.9.0 ve önceki sürümleri, updateShippingMethod() fonksiyonundaki (wp_ajax_lpc_order_affect AJAX işlemine kayıtlı) yetenek kontrolü eksikliği nedeniyle verilerin yetkisiz şekilde değiştirilmesine karşı savunmasızdır. Bu durum, işleyicinin saldırgan tarafından sağlanan order_id değerini okumadan ve ilgili siparişin gönderim yöntemini, teslim alma noktası metasını ve gönderim adresini değiştirmeden önce herhangi bir current_user_can() yetenek kontrolü veya nonce doğrulaması yapmamasından kaynaklanmaktadır. Bu durum, Abone seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, diğer kullanıcılar tarafından verilenler dahil olmak üzere rastgele WooCommerce siparişlerinin sevkiyat bilgilerini (gönderim yöntemi, teslim alma röle verileri ve gönderim adresi) oluşturmasına veya değiştirmesine olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| iscpcolissimo Colissimo shipping methods for WooCommerce | v ≤ 2.9.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.