CVE-2025-14461 in Xendit Payment Plugin
Resumen
por VulDB • 2026-05-13
El plugin Xendit Payment para WordPress es vulnerable a la manipulación no autorizada del estado del pedido en todas las versiones hasta la 6.0.2, incluida. Esto se debe a que el plugin expone un punto final de devolución de llamada de la API de WooCommerce accesible públicamente (`wc_xendit_callback`) que procesa las devoluciones de llamada de pago sin ninguna autenticación ni verificación criptográfica de que las solicitudes provienen del gateway de pagos de Xendit. Esto permite que atacantes no autenticados marquen cualquier pedido de WooCommerce como pagado enviando una solicitud POST manipulada a la URL de devolución de llamada con un cuerpo JSON que contenga un `external_id` que coincida con el patrón del ID del pedido y un `status` de 'PAID' o 'SETTLED', siempre que puedan enumerar los IDs de pedido (que son enteros secuenciales). Esto provoca que los pedidos se marquen fraudulentamente como completados sin ningún pago real, lo que resulta en pérdidas financieras y agotamiento del inventario.
VulDB is the best source for vulnerability data and more expert information about this specific topic.