Nexi XPay Build eklentisinde 2 güvenlik açığı
- Yayınlandı:
Nexi XPay Build eklentisinin 7.6.2 ve önceki sürümlerinde 2 güvenlik açığı bildirildi. Kayıtlar NVD’de yayımlandı; en yüksek önem derecesi yüksek (CVSS 8,2).
Düzeltilmiş sürüm bilgisi kayıtta yer almıyor; geliştiricinin değişiklik günlüğünü kontrol edin.
Özet bilgiler
- Eklenti
- Nexi XPay Build
- Etkilenen sürümler
- 7.6.2 ve öncesi
- Önem derecesi
- Yüksek · CVSS 8,2
Bildirilen açıklar
| Kayıt | Açık türü | CVSS |
|---|---|---|
| CVE-2026-82211 | güvenlik | 8,2 |
| CVE-2026-82212 | güvenlik | 7,5 |
Ne yapmalı?
Etkilenip etkilenmediğinizi kontrol edin
Eklentiler › Kurulu eklentiler ekranında Nexi XPay Build eklentisinin kurulu olup olmadığına ve sürümüne bakın. Kurulu değilse bu kayıt sizi etkilemez.
Geçici önlem alın
Düzeltilmiş sürüm çıkana kadar eklentiyi devre dışı bırakmayı değerlendirin. İşlev vazgeçilmezse güvenlik duvarı (WAF) kuralı bulunan bir güvenlik eklentisi veya hizmeti risk azaltır.
Otomatik güncellemeyi açın
Kurulu eklentiler ekranında eklentinin satırındaki “Otomatik güncellemeyi aç” bağlantısı, sonraki düzeltmelerin gecikmeden kurulmasını sağlar.
Belirtilere bakın
Tanımadığınız yönetici hesapları, değişmiş dosyalar, beklenmedik yönlendirmeler veya spam içerik görüyorsanız açık istismar edilmiş olabilir; siteyi yalnızca güncellemek bu durumda yetmez.
Sitenizin etkilenip etkilenmediğinden emin değil misiniz?
Güncellemek açığı kapatır ama içeri girilmişse bırakılan arka kapıyı silmez. Sitenizde zararlı kod olabileceğinden şüpheleniyorsanız tarayıp temizliyor, giriş noktasını kapatıyoruz.
Nexi XPay Build'ın WordPress adresindeki eklentisi, 7.6.2 sürümüne kadar, kimlik doğrulaması yapılmamış bazı rotalarına iletilen ödeme sonucunu doğrulamamaktadır. Bu durum, saldırganların rastgele siparişleri “ödenmiş” veya “başarısız” olarak işaretlemelerine, bu siparişleri iptal etmelerine ve misafir alıcıların bilgilerini ifşa eden sipariş anahtarlarını ele geçirmelerine olanak tanımaktadır.Özgün metin (İngilizce)
The Nexi XPay Build WordPress plugin through 7.6.2 does not verify the payment result supplied to several of its unauthenticated routes, allowing attackers to mark arbitrary orders as paid or failed, to cancel them, and to obtain order keys which expose guest buyers' details.
Bu sayfa NVD kaydından ve WordPress.org dizin verisinden otomatik oluşturuldu; sürüm ve kurulum bilgileri kaydın alındığı 7 Ekim 2026 tarihine aittir. Açığın teknik ayrıntıları için kaynaklara bakın.