CVE-2026-3640 - STRABL <= 4.5 - Unauthenticated Arbitrary Webhook Creation via REST API Endpoint
Özet
Bu kayıt, hedef sistemde bulunan bir zafiyeti detaylandırmaktadır. Zafiyet 2026-06-19 tarihinde yayınlanmış olup, topluluktan 169 görüntülenme almıştır. web uygulamaları kategorisinde sınıflandırılmıştır. Kullanıcıların teknik detaylar için Detay sekmesindeki kaynak kodunu incelemeleri önerilir.
Zafiyet Ozet Bilgileri
Zafiyet Detayi (Turkce)
STRABL – WordPress için bir ödeme çözümü eklentisi, 4.5'e kadar olan tüm sürümlerde Eksik Kimlik Doğrulamaya karşı savunmasızdır. Eklenti, /wp-json/strabl/webhook/order adresinde bir izin_callback'i olan __return_true ile bir REST API web kancası uç noktası kaydeder; bu, gelen tüm isteklere herhangi bir kimlik doğrulama veya yetkilendirme kontrolü olmadan izin verir. Paylaşılan sır, imza doğrulama, HMAC doğrulama veya belirteç tabanlı kimlik doğrulama uygulanmaz. Bu, kimliği doğrulanmamış saldırganların sahte WooCommerce siparişleri oluşturmasına ve bunları ödemeStatus=paid sağlayarak tamamlandı olarak işaretlemesine, harici bir Sipariş Kimliği sağlayarak mevcut sipariş durumlarını değiştirmesine, müşteri rolüyle yeni WordPress kullanıcı hesapları oluşturmasına, mevcut siparişler için geri ödeme yapmasına, mevcut siparişleri iptal etmesine ve ters ibraz ücretleri uygulamasına olanak tanır; bunların tümünü meşru bir ödeme yapmadan veya herhangi bir geçerli kimlik bilgisine sahip olmadan yapın.
Orijinal Aciklama (Ingilizce)
The STRABL – A checkout solution plugin for WordPress is vulnerable to Missing Authentication in all versions up to and including 4.5. The plugin registers a REST API webhook endpoint at /wp-json/strabl/webhook/order with a permission_callback of __return_true, which allows all incoming requests without any authentication or authorization checks. No shared secret, signature validation, HMAC verification, or token-based authentication is implemented. This makes it possible for unauthenticated attackers to create fraudulent WooCommerce orders and mark them as completed by supplying paymentStatus=paid, manipulate existing order statuses by providing an externalOrderId, create new WordPress user accounts with the customer role, issue refunds on existing orders, cancel existing orders, and apply chargeback fees — all without making a legitimate payment or having any valid credentials.
Kaynak Kodu İndir
Çevrimdışı analiz ve test için exploit kaynak kodunu indirin.
Şimdi İndirDosya Boyutu: ~3.9 KB | MD5: b6298f8247413256c043770b738481c2
Galeri görseli bulunmuyor.
Henüz tartışma başlatılmamış.