Yerli e-ticaret altyapısı Ticimax'ta XSS açığı, Siber Güvenlik Başkanlığı güncelleme önerdi

Siber Güvenlik Başkanlığı, 20 Ekim’de yayımladığı TR-26-1364 numaralı bildirimde Ticimax tarafından geliştirilen E-Ticaret Platformu’nda bir zafiyet tespit edildiğini duyurdu. Bildirime göre açık nedeniyle saldırganların zafiyeti kullanarak saldırı gerçekleştirmeleri ihtimal dahilinde.

Açığın tanımı

CVE kaydına göre CVE-2026-18205, web sayfası oluşturulurken kullanıcı girdisinin düzgün temizlenmemesinden kaynaklanan bir cross-site scripting açığı (CWE-79). Türü reflected XSS: saldırganın hazırladığı değer, kullanıcının açtığı bağlantının içinde sunucuya gidiyor ve sayfada geri yansıyarak kullanıcının tarayıcısında çalışıyor.

CVSS 3.1 puanı 6.1, yani orta önem derecesinde. Puan vektörüne göre saldırı ağ üzerinden yapılabiliyor ve saldırganın bir hesabı olması gerekmiyor. Ancak kullanıcının etkileşimi şart: kurbanın saldırganın hazırladığı bağlantıyı açması gerekiyor. Etki, sayfadaki bilgilerin okunması ya da değiştirilmesi düzeyinde sınırlı olarak puanlanmış.

Genel olarak bir e-ticaret sitesindeki XSS açığı, örneğin oltalama amaçlı bir bağlantıyla mağazanın kendi alan adı altında sahte içerik gösterilmesine ya da oturumdaki kullanıcı adına işlem yapılmaya çalışılmasına zemin hazırlayabilir. Bildirimde ve CVE kaydında açığın hangi sayfada olduğu ya da saldırılarda kullanılıp kullanılmadığı belirtilmiyor.

Etkilenen sürümler

CVE kaydında sürümler tarihle belirtiliyor. Kayda göre 2 Eylül 2026 dahil bu tarihe kadarki sürümler etkileniyor. Siber Güvenlik Başkanlığı ise uygulamanın en az 2 Eylül 2026 tarihli sürüme ve sonrasına yükseltilmesini tavsiye ediyor. İki kaynak 2 Eylül tarihli sürümün durumunu farklı ifade ettiği için, en güncel sürümün kullanılması daha güvenli bir yol.

Açığı Ali Murat Tava buldu. CVE kaydında Borusan Otomotiv destekçi (sponsor) olarak yer alıyor.

Önerilen önlemler

• Ticimax altyapısını kullanan mağazalar, en güncel platform sürümünü kullandıklarını Ticimax’tan teyit etmeli.
• Kullanıcılar, mağazadan geliyor gibi görünse bile beklenmedik bağlantılara karşı dikkatli olmalı. Reflected XSS, kurbanın hazırlanmış bir bağlantıyı açmasını gerektiriyor.