WooCommerce Eklenti Açıkları: 7 Kasım 2026'da Duyurulan Altı Kayıt

ABD Ulusal Güvenlik Açığı Veritabanı (NVD), 7 Kasım 2026'da WooCommerce mağazalarında kullanılan altı eklenti için yeni açık kaydı yayımladı. Beşi 9 ve üstü puanla kritik düzeydedir: oturum açmamış birinin hesaba girmesine, kendine yönetici yetkisi vermesine ya da sunucuya dosya yüklemesine yol açabilir. Altıncısı başka bir müşterinin sipariş bilgilerini açığa çıkarabilir. Altı eklentinin hepsinde açığı kapatan sürüm yayımlanmıştır; mağaza sahibinin işi, kurulu sürümü yamalı sürümle karşılaştırmaktır.

Kayıt, WordPress ve WooCommerce'i kendi sunucusunda ya da kendi barındırma hesabında çalıştıran mağazalar içindir. Açıklar WooCommerce'in kendisinde değil, ona bağlanan ayrı eklentilerdedir; WordPress çekirdeğindeki CVE-2026-119977 açığı ve 4 Kasım'daki WooCommerce 11.2.2 güvenlik sürümü 5 Kasım tarihli bülten kaydında anlatılır.

Eklenti	Etkilenen Sürümler	Yamalı Sürüm	Açığın Türü
Naimur Email OTP Verification for WooCommerce	2.1.0 ve öncesi	2.1.1 ya da daha yeni	Kimlik doğrulama atlanması
Registration Form for WooCommerce	1.1.4 ve öncesi	1.1.5 ya da daha yeni	Yetki yükseltme
payever – WooCommerce Gateway	4.8.0 ve öncesi	4.9.0 ya da daha yeni	Dosya yükleme ve kod çalıştırma
Printcart Store – Web to Print Product Designer for WooCommerce	2.13.2 ve öncesi	2.13.6 ya da daha yeni	Dosya yükleme
Checkout Field Editor for WooCommerce (Pro)	3.8.0 ve öncesi	3.8.1 ya da daha yeni	Dosya silme
FunnelKit Payment Gateway for Stripe WooCommerce	1.15.0.2 ve öncesi	1.16.0 ya da daha yeni	Sipariş bilgisinin görülmesi

Giriş ve üyelik eklentilerindeki açıklar

Naimur Email OTP Verification for WooCommerce (CVE-2026-104014, CVSS 9,8): Eklenti, müşterinin e-postasına tek kullanımlık kod göndererek kayıt ve parola yenilemeyi doğrular. NVD kaydına göre 2.1.0 ve önceki sürümlerde parola yenilemenin son adımı yeterince denetlenmez: parola yenileme kodu isteyip doğrulayan ama yeni parolasını belirlemeden akışı yarıda bırakan kullanıcının hesabı, oturum açmamış biri tarafından ele geçirilebilir. Hesap yöneticiye aitse site tümüyle ele geçirilmiş olur. Eklentinin WordPress.org'daki sürüm notları 2.1.1'de parola yenileme yetkisinin sıkılaştırıldığını, yenileme bağlantısının tek kullanımlık ve süreli yapıldığını yazar; güncel sürüm 2.1.2'dir.

Registration Form for WooCommerce (CVE-2026-119075, CVSS 9,8): Eklenti, WooCommerce'in kayıt ve ödeme formlarına alan ekler. NVD kaydına göre 1.1.4 ve önceki sürümlerde ödeme sırasında gönderilen alanlar denetlenmediği için oturum açmamış biri yeni hesabına yönetici rolü verebilir. 6 Kasım'da yayımlanan 1.1.5'in sürüm notu, ödemede gönderilen kullanıcı rolü üzerinden yetki yükseltmenin önlendiğini yazar. Eklentinin Ağustos'ta çıkan 1.1.3 sürümü de başka bir yetki yükseltme açığını kapatmıştı; 1.1.3'ten eski bir sürümde kalan mağaza iki açığa birden açıktır.

Ödeme ve ürün tasarımı eklentilerindeki açıklar

payever – WooCommerce Gateway (CVE-2026-93754, CVSS 9,8): Ödeme eklentisidir. NVD kaydına göre 4.8.0 ve önceki sürümlerde eklentinin WooCommerce'e açtığı üç işlem kimlik ve yetki denetimi yapmaz, uzaktan alınan dosyanın türüne de kaydetmeden önce bakılmaz; oturum açmamış biri sunucuya çalıştırılabilir dosya yazıp kod çalıştırabilir. 4.9.0'ın sürüm notu, yönetim işlemlerinin mağaza yöneticisi yetkisi istediğini ve ürün görseli içe aktarmanın yalnızca doğrulanmış görselleri kabul ettiğini yazar. Kayıt "4.8.0 dahil öncesi" dediği için 4.8.1 ya da 4.8.2'de olan mağaza da 4.9.0'a geçmelidir.

Printcart Store – Web to Print Product Designer for WooCommerce (CVE-2026-19803, CVSS 9,8): Müşterinin ürün üzerinde tasarım yapıp dosya yüklediği eklentidir. NVD kaydına göre 2.13.2 ve önceki bütün sürümlerde, görsel kırpma işleminde dosya yolu ve türü denetlenmediği için oturum açmamış biri sunucuya kod içeren dosya yazabilir. Kayıt, açığın yalnızca eklentinin yükleme penceresi gelişmiş biçime (Advanced Upload Popup) ayarlıysa kullanılabildiğini yazar; bu ayarı kullanmayan mağaza da güncellemeyi ertelememelidir. 26 Ekim'de çıkan 2.13.6'nın sürüm notu, tasarım aracından ve ürün seçeneklerinden yüklenen dosyaların türüne ve içeriğine bakıldığını, çalıştırılabilir dosyaların reddedildiğini yazar.

Checkout Field Editor for WooCommerce (Pro) (CVE-2026-122041, CVSS 9,1): Ödeme sayfasına alan ekleyen ücretli eklentidir; ücretsiz sürümü ayrı bir eklentidir. NVD kaydına göre 3.8.0 ve önceki sürümlerde, ödeme sayfasında dosya yükleme alanı tanımlı olan mağazada, yüklenen dosyayı kaldıran işlem yetki ve sahiplik denetimi yapmaz; oturum açmamış biri sitenin ortam kütüphanesindeki başka dosyaları da silebilir. Ürün görsellerinin kaybolması sitenin işleyişini bozabilir. Geliştiricisi ThemeHigh'ın sürüm notlarına göre 3 Kasım'da çıkan 3.8.1 bu açığı ve ödeme alanlarındaki bir kayıtlı XSS açığını kapatır.

FunnelKit Payment Gateway for Stripe WooCommerce (CVE-2026-109991, CVSS 7,5): Stripe ile ödeme alan eklentidir. NVD kaydına göre 1.15.0.2 ve önceki sürümlerde sipariş ödeme sayfası, oturum açmamış birinin başka müşterilerin siparişlerindeki fatura bilgilerini (ad, e-posta, telefon ve açık adres) görmesine yol açabilir. Bu, kişisel verilerin açığa çıkması demektir; açığın kullanıldığından şüphelenen mağaza KVKK yükümlülüklerini hukuk danışmanıyla değerlendirmelidir. 1.16.0'ın sürüm notu, sipariş ödeme sayfalarındaki kodun sağlamlaştırıldığını yazar.

WooCommerce eklenti açıklarında mağaza sahibinin yapacağı kontroller

• Kurulu Sürüm: Eklentiler ekranında altı eklentiden biri varsa sürümünü tablodaki yamalı sürümle karşılaştırın; daha eskiyse güncelleyin.
• Kullanılmayan Eklenti: Kurulu olup kullanılmayan eklentiyi devre dışı bırakmakla yetinmeyin, silin; dosyaları ancak silinince sunucudan kalkar.
• Yönetici Hesapları: Kimlik doğrulama, yetki ya da dosya yükleme açığı olan eklentilerden birini kullandıysanız Kullanıcılar ekranında tanımadığınız yönetici ve son günlerde açılmış hesap olup olmadığına bakın.
• Yüklenen Dosyalar: Ortam kütüphanesinde sizin yüklemediğiniz dosya ya da beklenmedik biçimde silinmiş görsel varsa not alın.
• Yedek: Güncellemeden önce sitenin ve veritabanının yedeğini alın; yedeğin geri yüklenebildiğini bilin.

Şüpheli bir hesap, dosya ya da değişiklik görürseniz eklentiyi güncellemek yetmez: sitenin ihlal açısından incelenmesi, temizlenmesi ve parolaların yenilenmesi gerekir. Bu inceleme mağazanın verisine ve müşteri bilgilerine dokunduğu için uzman eliyle yapılmalıdır. AdPix'in e-ticaret teknik destek ekibi WooCommerce mağazasında eklenti ve sürüm denetimini, güncellemeyi ve ihlal sonrası incelemeyi üstlenir; PHP sürümünün ayrıca güncellenmesi gerekiyorsa WooCommerce PHP güvenlik güncellemesi yazısı sırayı anlatır.

WooCommerce eklenti açıkları hakkında sık sorulan sorular

Bu altı açık WooCommerce'in kendisinde mi?

Hayır. Altı kaydın hepsi WooCommerce'e bağlanan ayrı eklentilerdedir: giriş doğrulama, üyelik formu, ödeme ve ürün tasarımı eklentileri. WooCommerce'in kendi güvenlik sürümü 4 Kasım'da 11.2.2 ile çıktı; ayrı bir kontroldür ve bu bültenin önceki kaydında anlatılır.

Eklentiyi güncelledim, başka bir şey yapmam gerekir mi?

Yamalı sürüm açığı kapatır, ama güncellemeden önce olmuş bir ihlali geri almaz. Kimlik doğrulama, yetki ya da dosya yükleme açığı olan eklentilerde güncellemeden sonra yönetici hesaplarına, son eklenen kullanıcılara ve yükleme klasöründe tanımadığınız dosyalara bakın. Şüpheli bir kayıt görürseniz siteyi uzmanına inceletin.

Kurulu eklentinin sürümünü nereden görürüm?

WordPress yönetim panelindeki Eklentiler ekranı her eklentinin adının altında kurulu sürümünü gösterir. Yamalı sürüm çıkmışsa aynı satırda güncelleme bildirimi de görünür. Ücretli eklentilerin güncellemesi geliştiricinin kendi düzeniyle gelir; ekranda görünmüyorsa kurulu sürümü geliştiricinin sürüm notlarıyla karşılaştırın.

Kullanmadığım ama kurulu duran eklenti risk taşır mı?

Devre dışı bırakmak eklentiyi kaldırmaz: WordPress'in belgelerine göre silme, devre dışı bırakmadan sonra yapılan ayrı bir işlemdir ve eklentinin dosyaları o zamana kadar sunucuda durur. Kullanmadığınız eklentiyi silin; gerekirse daha sonra güncel sürümüyle yeniden kurulur.