LiteSpeed Cache'teki açık, WooCommerce müşteri bilgilerini başkalarına gösterebiliyor

WordPress güvenlik şirketi Wordfence’in 4 Kasım’da yayımladığı CVE kaydına göre, LiteSpeed Cache eklentisinin 7.9.1 ve önceki bütün sürümlerinde, WooCommerce kullanan sitelerde müşterilerin kişisel bilgilerinin giriş yapmamış birine açılmasına yol açan bir açık var. Açık CVE-2026-93389 numarasıyla izleniyor ve CVSS 3.1 puanı 8.2. LiteSpeed Technologies’in geliştirdiği eklenti, WordPress.org’a göre 7 milyondan fazla sitede kurulu.

Açık

CVE kaydına göre eklentinin REST yanıtlarını önbelleğe alan ayarı (cache-rest=1) varsayılan olarak açık geliyor. Bu ayar açıkken eklenti, WooCommerce’in sepet ve ödeme sayfaları için kullandığı Store API yanıtlarını (/wc/store/v1/cart ve /wc/store/v1/checkout) herkese açık önbellek kayıtları olarak saklıyor. Önbellek her müşterinin sepet anahtarına (Cart-Token) ya da WooCommerce oturumuna göre ayrılmıyor. Bu yüzden bir müşteriye özel hazırlanan sepet ya da ödeme yanıtı, daha sonra çerezi ve anahtarı olmadan gelen başka birine önbellekten gönderiliyor.

Kayda göre giriş yapmamış bir saldırgan bu yolla başka bir müşterinin şu bilgilerine ulaşabiliyor:

• Fatura ve teslimat bilgileri: ad, şirket, açık adres, e-posta ve telefon.
• Sepetteki ürünler ve tutarlar.
• Müşterinin geçerli sepet oturumu anahtarı (JWT) ve tek kullanımlık doğrulama değeri (nonce). Kayda göre bu, sepet ve ödeme oturumunun ele geçirilmesine izin veriyor.
• Ödeme sayfası yanıtında siparişin anahtarı (order_key).

Açığı Santh adlı araştırmacı buldu. Kayda göre açık eklentinin geliştiricisine 17 Eylül’de bildirildi ve 4 Kasım’da açıklandı. CVE kaydında açığın saldırılarda kullanıldığına dair bir bilgi yok.

Etkilenen sürümler

CVE kaydına göre 7.9.1 ve önceki bütün sürümler etkileniyor, sonraki sürümler etkilenmeyen olarak gösteriliyor. Eklentinin WordPress.org’daki sürüm notlarına göre 7.9.2 20 Ekim’de, 7.9.3 3 Kasım’da yayımlandı. Açık yalnızca WooCommerce’in Store API yanıtlarıyla ilgili.