Bir müşteri mesajını açtığımda yönetim panelim tuhaf davranıyor

Görüntülenmek yerine çalışan bir mesaj

Senaryo her zaman aynıdır. Bir ziyaretçi mağazanın iletişim formundan bir mesaj gönderir. Mesaj, yönetim panelindeki müşteri hizmetleri kuyruğuna düşer. Biri yanıtlamak için mesajı açar ve sayfa, hiçbir yönetim sayfasının yapmaması gereken şeyi yapar: kendiliğinden yenilenir, bir pencere açılır, bir alan dolar, tıklanmadığı hâlde bir kayıt gönderilir.

Bu davranışın bir adı var: depolanmış siteler arası betik açığı, kısaca depolanmış XSS. İki kelime önemli. Siteler arası betik, başka birinin yazdığı kodun sizin tarayıcınızda, sizin sitenizin içinde, mağazanızın kendi koduyla tamamen aynı güven düzeyinde çalışması demektir. Depolanmış ise bu kodun tuzaklı bir adresten tek seferlik geçmediği, veritabanına, mesajın içeriğine kaydedildiği ve o kaydı her açan kişide yeniden çalışacağı anlamına gelir.

PrestaShop, tam olarak bu durumu düzeltmek için 28 Nisan 2026’da 8.2.6 ve 9.1.1 sürümlerini yayınladı: yönetim panelinin Müşteri Hizmetleri görünümünde depolanmış bir siteler arası betik açığı. İlgili duyuru GHSA-w9f3-qc75-qgx9, CWE-79 sınıfında, kritik önem derecesinde ve 9,3 puanla. Açık, Doyensec araştırmacıları tarafından sorumlu şekilde bildirildi.

Giriş noktası herkese açık, hedef değil

İletişim formu herkese açıktır: hesap da sipariş de gerekmez. Giriş noktası budur. Ama hedef bu değildir. Bir mesaja kod bırakan saldırgan, kimse o mesajı açmadığı sürece hiçbir şey kazanmaz; mesaj veritabanında hareketsiz bekler.

Neredeyse her zaman karıştırılan iki şeyi ayırmak gerekir. Mesaj kod içeriyor: bu pasif bir durumdur, kayıtlı bir metindir, kendi başına hiçbir etkisi yoktur. Kod bende çalışıyor: asıl olay budur ve yönetim paneli bu metni etkisizleştirmeden gösterdiği anda gerçekleşir. Tam o anda kod, okuyan kişinin tarayıcısında, mağazanın alan adı üzerinde ve hâlihazırda kimliği doğrulanmış bir yönetim oturumunun içinde çalışır.

Asıl hedef bu oturumdur. Saldırganın parolanıza ihtiyacı yoktur. İki adımlı doğrulamanızı aşmasına gerek yoktur. Yönetim panelinizin adresini, tarayıcıda zaten açık olan sayfa dışında bilmesine gerek yoktur. Sizin kendi açtığınız oturumu kullanır. Bu oturumun yapabildiği her şeyi kod da deneyebilir: bir çalışan hesabı oluşturmak, bir iletişim adresini değiştirmek, bir yapılandırma değerini düzenlemek, sekme kapandıktan çok sonra bile erişim bırakacak bir işlemi tetiklemek.

Dikkatsizce açmadan neye bakmalı

Doğal refleks, yani mesajı açıp içinde ne olduğuna bakmak, mağaza düzeltilene kadar tam olarak kaçınılması gereken şeydir. Düzeltme uygulanmadığı sürece her açma işlemi bir çalıştırmadır.

• Yazışmalara girmeden müşteri hizmetleri listesini gözden geçirin: konu, gönderen ve tarih çoğu zaman anormal bir gönderimi fark etmeye yeter.
• Konusunda veya önizlemesinde işaretlemeye benzeyen parçalar, fazladan tırnak işaretleri ya da arka arkaya noktalama karakterleri bulunan mesajları şüpheli sayın.
• Kısa bir aralıkta, herhangi bir siparişle ilgisi olmayan, tek kullanımlık adreslerden gelen bir mesaj yağmuru başlı başına bir sinyaldir.
• İçeriği mutlaka okumanız gerekiyorsa, yönetim arayüzünden değil, veritabanından veya çevrimdışı bir kopyadan okuyun.

Bir kopyasını sabitlemeden şüpheli mesajları silmenizi önermem. Gönderimin tarihini belirlemeyi, kimin açtığını saptamayı ve olayın sonuç doğurup doğurmadığına karar vermeyi sağlayacak tek kanıt onlardır.

Müşteri verileri etkilendiyse

Ele geçirilmiş bir yönetim oturumu, kişisel verilere erişim anlamına gelebilir: müşteri kayıtları, adresler, sipariş geçmişi, müşteri hizmetleri yazışmaları. Günlüklerin incelenmesi böyle bir görüntüleme veya dışa aktarma yapıldığını gösteriyorsa, artık yalnızca teknik bir olayla karşı karşıya değilsiniz.

GDPR çerçevesinde ihlal, bir güvenlik olayının kişisel verilerin kazara veya hukuka aykırı biçimde yok edilmesine, kaybına, değiştirilmesine ya da yetkisiz ifşasına yol açması demektir. Her ihlal, bildirmediğiniz ihlaller dâhil, iç bir kayıt defterine işlenmelidir. Kişilerin hak ve özgürlükleri için bir risk taşıyorsa, öğrenildikten sonraki 72 saat içinde yetkili makama, Fransa’da CNIL’e bildirilmelidir. Risk yüksekse, ilgili kişiler de somut koruma tavsiyeleriyle birlikte bilgilendirilmelidir. Risk olmadığı sonucuna varırsanız bildirim yapmazsınız, ancak bu değerlendirmeyi gerekçelendirebilmeniz gerekir.