Sipay'in WooCommerce Sanal POS Modülü'nde ve Pardus About'ta açıklar kapatıldı

Siber Güvenlik Başkanlığı, 11 Kasım’da Sipay Elektronik Para ve Ödeme Hizmetleri A.Ş.’nin WooCommerce Sanal POS Modülü için TR-26-1520, 12 Kasım’da TÜBİTAK BİLGEM Yazılım Teknolojileri Araştırma Enstitüsü’nün Pardus About ürünü için TR-26-1521 numaralı güvenlik bildirimini yayımladı. Başkanlığa göre açıklar nedeniyle siber saldırganların bu açıkları kullanarak saldırı gerçekleştirmesi ihtimal dahilinde. Açıkların CVE kayıtlarını TR-CERT yayımladı.

Sipay WooCommerce Sanal POS Modülü

CVE kaydının başlığına göre CVE-2026-85632, Sipay’in WordPress (WooCommerce) modülünde kimlik doğrulaması gerektirmeyen bir ödeme durumu manipülasyonu (unauthenticated payment status manipulation) açığı. Kayıtta açık, kritik bir işlev için kimlik doğrulama eksikliği (missing authentication for critical function) ve bütünlük denetim değerinin hatalı doğrulanması (improper validation of integrity check value) olarak sınıflandırılıyor. Kayda göre açık kimlik doğrulamanın atlatılmasına ve araya girme (man-in-the-middle) yoluyla uygulama API iletilerinin değiştirilmesine izin veriyor.

Açığın CVSS 3.1 puanı 9.1. Puanlamaya göre saldırı ağ üzerinden yapılabiliyor, yetki ya da kullanıcı etkileşimi gerekmiyor ve açık gizliliği ve bütünlüğü yüksek düzeyde etkileyebiliyor.

CVE kaydına göre modülün 26.8.3’ten 26.9.1 öncesine kadar olan sürümleri etkileniyor. Kayıtta açığı bulan kişi olarak Yasin Suer gösteriliyor. Başkanlık uygulamanın en az v26.9.1 sürümüne ya da sonrasına yükseltilmesini öneriyor.

Sipay’in sanal POS modüllerindeki başka açıkları 9 Ekim’de yazmıştık.

Pardus About

CVE kaydına göre CVE-2026-87772, Pardus About’ta yetki yükseltmeye (privilege escalation) izin veren bir hatalı yetkilendirme (incorrect authorization) açığı. Kaydın başlığı açığı kimlik doğrulaması gerektirmeyen bir Polkit yetki yükseltmesi olarak tanımlıyor, CVSS puanlaması ise düşük yetkili bir hesap gerektiğini gösteriyor.

Açığın CVSS 3.1 puanı 7.8. Puanlamaya göre saldırgan için yerel erişim ve düşük yetkili bir hesap gerekiyor, kullanıcı etkileşimi gerekmiyor ve açık gizlilik, bütünlük ve erişilebilirliği yüksek düzeyde etkileyebiliyor.

CVE kaydına göre açık 1.2.5 öncesi sürümleri etkiliyor. Kayıtta açığı bulan kişi olarak Sevban Dönmez gösteriliyor. Başkanlık uygulamanın en az 1.2.5 sürümüne ya da sonrasına yükseltilmesini öneriyor.

Önceki bildirimler

Başkanlık 10 Kasım’da da TÜBİTAK BİLGEM’in eta-remote ve pardus-nvidia-installer ürünlerindeki üç açık için bildirim yayımlamıştı.

Bildirimlerde ve CVE kayıtlarında açıkların saldırılarda kullanıldığına dair bir bilgi yok. WooCommerce mağazasında Sipay modülünü kullanan işletmelerin ve Pardus kullanan kurumların sürümlerini kontrol edip Başkanlığın önerdiği sürümlere ya da daha yenilerine güncellemesi gerekiyor.