WHMCS PayTR Virtual Pos iFrame API​​ Güvenlik Açığı

Genel Bilgi
PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş. tarafından geliştirilen PayTR Virtual Pos iFrame API (v9x) WHMCS Module ürününde zafiyetler tespit edilmiştir.

Etki
Mevcut güvenlik açıklıkları nedeniyle siber saldırganların zafiyetleri kullanarak saldırılarını gerçekleştirmeleri ihtimal dâhilindedir. İlgili CVE zafiyet kodları şöyledir:

CVE-2026-16025, CVE-2026-16037 ve CVE-2026-16272

PayTR Ödeme ve Elektronik Para Kurumu A.Ş.'nin PayTR Sanal POS iFrame API'sinde (v9x) WHMCS Modülünde, giriş verilerinde belirtilen miktarın yanlış doğrulanması nedeniyle giriş verilerinin manipülasyonuna izin veren bir güvenlik açığı bulunmaktadır. Bu sorun, PayTR Sanal POS iFrame API'sinin (v9x) WHMCS Modülü'nün v9.0.0 sürümünden v9.0.3 sürümüne kadar olan sürümlerini etkilemektedir.

Çözüm
Siber Güvenlik Başkanlığı, uygulamanın en az v9.0.3 sürümü ve sonrasına yükseltilmesini tavsiye etmektedir.

Kaynaklar
https://www.cve.org/CVERecord?id=CVE-2026-16025
https://www.cve.org/CVERecord?id=CVE-2026-16037
https://www.cve.org/CVERecord?id=CVE-2026-16272

https://siberguvenlik.gov.tr/guvenli...tay/tr-26-1034

Bu tarz açıklar çok basit sömürülebiliyor. Burp ile giden veriyi 1000 tl yerine 5 tl yapıp karttan 5 tl çektiriyorlar ama 1000 tllik hizmet alıyorlar. Çok sıkıntılı bir durum.