NivoCart 2.5.1'de Yetkilendirme Eksikliği Misafir Sipariş Faturalarını Açığa Çıkarıyor
Yapay zeka üretimi19.10.2026
- CVE
- CVE-2026-111277
- Ciddiyet
- Yüksek (CVSS 7.5)
- Firma / ürün
- - / -
Özet
NVD kaydına göre, NivoCart 2.5.1 sürümündeki download() eylemindeki yetkilendirme eksikliği, kimliği doğrulanmamış saldırganların misafir sipariş faturalarını görüntülemesine olanak tanıyor.
Ayrıntılar
NVD kaydına göre, NivoCart'ın 2.5.1 sürümüne kadar olan versiyonlarında account/order modülündeki download() işlevinde yetkilendirme kontrolü bulunmamaktadır. Bu eksiklik, saldırganların order_id parametresini değiştirerek müşteri kimliği 0 (misafir) olan siparişlerin faturalarına erişmesini sağlar. Sonuç olarak, misafir kullanıcıların isimleri, adresleri, telefon numaraları, e-posta adresleri, satın alınan ürünler ve toplam tutarları gibi kişisel bilgiler ortaya çıkabilir. Açığın ciddiyeti CVSS 7.5 puanıyla yüksek olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında derhal uygulayın ve ürüne dışarıdan erişimi mümkün olduğunca sınırlayın.