WooCommerce 11.0.1: Guvenlik Yamasi ve 7.1 Uyumu

🇬🇧 English: Read this in English →

Bir hafta gecikmeyle 4 Ağustos’ta çıkan WooCommerce 11.0’ın üstünden altı gün geçti, bir nokta sürümü çoktan yayında. Bu kötü bir işaret değil. Trenin yürümeye devam ettiğinin işareti, ve WordPress ana sürümünün bir hafta önündeyken tam da görmek istediğim şey.

Bu işi yeteri kadar uzun süredir yapıyorum ki, bir x.0.1 sürümünün “büyük bir şeyi kırdık, özür dileriz” anlamına geldiği günleri hatırlıyorum. Bu sürüm o değil. WooCommerce 11.0.1 bir güvenlik yaması, bir WordPress 7.1 uyumluluk yaması, ve bir avuç Store API + analitik düzeltmesinin tek sakin bir bakım penceresine sığdırılmış hali. Bir WooCommerce mağazan varsa ve WordPress 7.1 sekiz gün sonra üretime düşecekse, bu sürüm senin dostundur.

İlginç kısım tek bir düzeltme değil. Listenin şekli. Yukarıdan aşağıya okursan, ekibin son iki haftada neyi triaj ettiğini anlarsın: yetki kontrollerini sıkılaştır, render’dan önce temizle, misafir oturum çerezini düzgün hashle, ve her ödemede tüm wc-logs klasörünü tarama. Hepsi tanıdık bir yönü işaret eden küçük itmeler.

Aslında ne yeni

WooCommerce 11.0.1, 10 Ağustos 2026 tarihinde yayınlandı. Brian Coords sürüm notlarını aynı gün WooCommerce Developer Blog’da yayımladı. Bu bir güvenlik güncellemesi. Veritabanı güncellemesi gerektirmiyor. Notlardaki başlık “Yaklaşan WordPress 7.1 sürümüyle artırılmış uyumluluk” — bu çerçeve tonu belirliyor.

Güvenlik listenin taşıyıcı kısmı. Parola koruması artık ürün kısa açıklamalarını embed’lerde ve blok şablonlarında da kapsıyor, yani korumalı bir ürün kısa açıklamasını bir oEmbed veya render edilmiş desen üzerinden sızdırmıyor. Misafir oturum çerezleri “daha güçlü, salt’lı bir hash şeması” kullanıyor — bu, siteye girmeden dolaşan her müşterinin taşıdığı kimlik tanımlayıcısı için doğrudan bir yükseltme, ve sonradan düşünmek istemeyeceğin türden. Store API sepet token’ları müşteri oturumu yüklenmeden önce doğrulanıyor, bu da Cart/Checkout bloklarında olduğunu itiraf etmek istemeyeceğim kadar uzun süredir duran bir sıralama boşluğunu kapatıyor. Cart/Checkout bloklarındaki tek seferlik kapatılabilir bildirimler render’dan önce temizleniyor. Harici ürün buton etiketleri REST API gönderiminde metin sanitize etmesinden geçiyor. Otomatik öne çıkan görsel eşleştirme nihayet edit_product yetkisi istiyor — herkesin zaten orada olduğunu sandığı türden bir kontrol.

WordPress 7.1 uyumluluk çalışması bilinçli olarak hedefli ve küçük. Orders listesi artık 7.1 Release Candidate ile gelen güncellenmiş liste tablosu işaretlemesini kabul ediyor. Ürün yorumları liste tablosu hem eski hem yeni onay kolonu işaretlemesini kabul ediyor, böylece aynı kod yolu 7.0 ve 7.1 üzerinde çalışıyor. “Add Product” ekranındaki JavaScript sayaç testi yeni 7.1 script’lerini öğrenmiş — staging ortamlarında bir sınıf test tuhaflığını ve hayali hata raporunu bir çırpıda susturan sessiz düzeltmelerden.

Store API ve analitik aynı “küçük sızıntıları kapat” muamelesini görüyor. Kupon kullanım limitleri mevcut siparişler için de doğru uygulanıyor. Analitik CSV dışa aktarımları çalışmadan önce report_args‘ı her raporun REST şemasına karşı doğruluyor. Analitik sipariş raporları sadece tanınan tarih kolonlarını kabul ediyor — kulağa sıkıcı geliyor, ta ki ham bir ORDER BY‘a hatalı bir kolonun ulaştığını görene kadar. Marketplace abonelik aktivasyonu artık activate_plugins veya switch_themes istiyor. Tema kurulum uç noktası install_themes kontrol ediyor. Hepsi başından beri orada olması gereken ucuz yetki kontrolleri.

Ayrıca ele alınması gereken performans değişikliği loglama. Logger artık her yazımda tüm wc-logs klasörünü taramıyor, temizlik işleri sınırlı toplu partiler halinde çalışıyor. Birkaç yıldır agresif log tutan bir mağazada bu ödemede ölçülebilir seviyede. Aynı zamanda gelecek hafta yavaş sorgu izleme panelinde sessizce görünmeyi bırakan ve bir daha dönmeyen türden bir düzeltme.

Bir yönetici dipnotu: ABD dışı mağazalarda hatalı bir “business location uyuşmazlığı” uyarısı gösteren Payments ayarları hatası düzeltildi. Türk, İngiliz veya Slovak müvekkilin bu uyarıya bakıp ne yapacağını düşünüyorduysa, cevap artık “11.0.1’i kur.”

WordPress ve WooCommerce insanları için neden önemli

Hikayeyi takvim anlatıyor. WooCommerce 11.0 GA 4 Ağustos’ta çıktı. WordPress 7.1 GA 19 Ağustos. Bu arada tam iki hafta var, ve 11.0.1 tam ortasına düşüyor. Woo ve Core yükseltmelerini ayrı bakım pencerelerine bölmeyi planlıyordun — ki bölmelisin — 11.0.1 artık ilk pencereye koyacağın sürüm. Woo yükseltmesini 11.0.0 ile yapıp 20’sinde Orders liste tablosunun 7.1 altında tuhaf göründüğünü öğrenmek tamamen kaçınılabilir bir hafta sonu.

Güvenlik şeklini de bağlam içinde okumak lazım. Son on gün zaten WooCommerce Subscriptions 9.1.0 duyurusunu, Stripe for WooCommerce 10.8.5 duyurusunu ve 6 Ağustos’ta John Blackbourn imzalı, on iki güvenlik açığını kapsayan WordPress 7.0.3 güvenlik sürümünü üretti. Hiçbiri Woo çekirdeğinde değildi. 11.0.1, Woo çekirdeğinin aynı iki haftaya katkısı. Aynı doktrin, aynı hat, aynı “koordineli backport, sakin duyuru, CVE tiyatrosu yok” şablonu — bir hafta önce Matt’in Defensive Data Design yazısında anlattığı disiplin.

Ve “veritabanı güncellemesi yok” ifadesi, bunun beş dakikalık mı yoksa doksan dakikalık bir değişiklik mi olacağına karar veriyor. Tek eklenti güncellemesi, mevcut bir bakım penceresinde çalıştırmak güvenli, Automatic Updates’e güvendiğin mağazalarda ona bırakmak güvenli. WordPress ekosisteminin üretmesi gereken sürümün tam da böylesi, ve barındırılmış e-ticaret karşılaştırmalarında hiç bahsedilmeyen türden.

Ben yerinde olsam (ya da yapmasam)

Gerçek bir müvekkil listesinde bu hafta ben olsam şunları yapardım.

• Bir örnek mağazayı staging’e klonla, 11.0.1’e güncelle, Woo regresyonlarının yüzde doksanını yakalayan on dakikalık dumanı çıkart: sepet, misafir ödeme, giriş yapmış ödeme, bir kayıtlı kart ile çekim, bir iade, bir kupon uygulama, bir Analitik CSV dışa aktarım. Bunlar geçerse sürüm sıkıcıdır — doğru sonuç bu.
• Zaten 11.0.0’da olan her yönetilen mağazaya bu hafta içinde 11.0.1’i üretime al. Kendi bakım penceresinde yap, başka işlere yığma. İki hafta sonra 7.1 GA düştüğünde Woo katmanının çoktan stabil olmasını istersin.
• Daha sakin bir pencere bekleyen 10.9.x’te kalmış bir mağaza için 11.0.1 artık 4 Ağustos’ta 11.0.0’ın olduğundan daha güvenli hedef. Güvenlik düzeltmeleri ve 7.1 uyumluluk çalışması tek yükseltmede birlikte geliyor. 11.0.0’ı ara adım olarak kullanma.
• Bu hafta hiçbir deneysel Woo özelliğini açma (terk edilmiş sepet kurtarma, blok tabanlı e-posta editörü, React Ayarlar arayüzü). Bu yön 11.0 GA yazısından beri değişmedi. Değişiklik penceresi başına iki hareket eden parça tavan.
• Tek satış argümanı “WooCommerce güvenlik yamalarında seni haberdar ederiz” olan hiçbir eklentiyi kurma. Bunu zaten developer blog RSS’inden ve güncelleme bildirim hattından alıyorsun. Güvenlik duyurusu ile senin arana üçüncü taraf bir katman koymak tam olarak yanlış güven yönü.

Böyle bir nokta sürümünün çıktığı gün öğrendiğim bir şey var: değişiklik listesini düzeltmeler için değil, adlandırdığı yüzey için oku. 11.0.1 listesindeki her madde ekibin baktığı bir yer. Eklenti geliştiriyorsan, son iç incelemenin nereden geçtiğinin haritası bu. Bir sonraki turun yakında olduğunu varsay.

Bu ekosistemi yirmi küsur yıl izledikten sonra bugüne dair dürüst okumam şu: sıkıcı, zamanında, içinde güvenlik düzeltmeleri ve bir sonraki ana sürüm uyumluluğu barındıran bir nokta sürümü endişelenme işareti değil. Makinenin çalıştığının işareti. Güncelle, devam et, ve 7.1 değişiklik penceresini bir hafta ötede tut.