Sipay sanal POS modüllerinde ve AKINSOFT ürünlerinde kritik açıklar kapatıldı

Siber Güvenlik Başkanlığı, 6-9 Ekim arasında yayımladığı güvenlik bildirimlerinde Türkiye’de geliştirilen yazılımlardaki açıkları duyurdu. Bildirimlerin en kritik ikisi, ödeme kuruluşu Sipay’in e-ticaret siteleri için geliştirdiği sanal POS modüllerinde. PrestaShop ve OpenCart altyapısını kullanan siteler için sunulan modüllerde, ödeme doğrulamasındaki kriptografik imza doğru kontrol edilmiyordu. CVE kayıtlarında açık “ödeme doğrulamasını atlatma” olarak tanımlanıyor. İki açığın da CVSS 3.1 puanı 9.8.

Açık PrestaShop modülünde 26.8.1, OpenCart modülünde 26.8.2 sürümünden itibaren bulunuyordu ve 26.9.1 sürümüyle kapatıldı. Başkanlık modülün en az 26.9.1’e yükseltilmesini öneriyor. Bu modülleri kullanan sitelerin, açığın bulunduğu dönemde gelen siparişlerin ödemelerini banka kayıtlarıyla karşılaştırması da yerinde olur.

AKINSOFT’un üç ürünü için de bildirim yayımlandı. WOLVOX Kontrol Paneli’nin 26.02.25 sürümünde veritabanı erişim bilgileri açığa çıkıyordu. CVSS 3.1 puanı 9.8 olan açık 26.02.26 sürümüyle kapatıldı. MyRezzta’da parola sıfırlama kodu deneme yanılmayla bulunabildiği için hesaplar ele geçirilebiliyordu, açık 2.07.01 sürümüyle kapatıldı. OctoCloud’daki yetki kontrolü açığı ise 1.12.07 sürümüyle giderildi.

Diğer bildirimler şöyle:

• Felisify Bilişim’in SambaBox ürününde işletim sistemi komutu enjeksiyonu, 5.4.1 sürümüyle kapatıldı.
• Hayat Hastanesi’nin Hayat Mobile uygulamasında giriş doğrulama kodunun (OTP) uygulama tarafında açığa çıkması kimlik doğrulamanın atlatılmasına izin veriyordu, 3.4.0 sürümüyle kapatıldı.
• İzometri Bilişim’in eimzamip ürününde kısıtlanmamış dosya yükleme yoluyla kod çalıştırılabiliyordu, v1.6.6 sürümüyle kapatıldı.

Bildirimlerde açıkların saldırılarda kullanıldığına dair bir bilgi yok. Bu ürünleri kullananların sürümlerini kontrol edip güncellemeleri gerekiyor.