CVE-2025-14461 in Xendit Payment Plugin
Résumé
par VulDB • 25/05/2026
Le plugin Xendit Payment pour WordPress est vulnérable à la manipulation non autorisée du statut des commandes dans toutes les versions jusqu'à la 6.0.2 incluse. Cette vulnérabilité est due à l'exposition par le plugin d'un point de terminaison de rappel de l'API WooCommerce (`wc_xendit_callback`) accessible publiquement, qui traite les rappels de paiement sans aucune authentification ni vérification cryptographique que les requêtes proviennent bien de la passerelle de paiement Xendit. Cela permet aux attaquants non authentifiés de marquer n'importe quelle commande WooCommerce comme payée en envoyant une requête POST fabriquée vers l'URL de rappel avec un corps JSON contenant un `external_id` correspondant au motif de l'ID de commande et un `status` défini sur 'PAID' ou 'SETTLED', à condition qu'ils puissent énumérer les IDs de commande (qui sont des entiers séquentiels). Cela conduit à des commandes frauduleusement marquées comme terminées sans aucun paiement réel, entraînant des pertes financières et un épuisement des stocks.
Once again VulDB remains the best source for vulnerability data.