CVE-2025-14461 in Xendit Payment Plugin
Riassunto
di VulDB • 15/06/2026
Il plugin Xendit Payment per WordPress è vulnerabile alla manipolazione non autorizzata dello stato degli ordini in tutte le versioni fino alla 6.0.2 inclusa. Ciò è dovuto al fatto che il plugin espone un endpoint di callback dell'API WooCommerce (`wc_xendit_callback`) pubblicamente accessibile, che elabora i callback di pagamento senza alcuna autenticazione o verifica crittografica per garantire che le richieste provengano dal gateway di pagamenti Xendit. Questo consente ad attaccanti non autenticati di contrassegnare qualsiasi ordine WooCommerce come pagato inviando una richiesta POST manipolata all'URL del callback con un corpo JSON contenente un `external_id` corrispondente al pattern dell'ID ordine e uno `status` pari a 'PAID' o 'SETTLED', purché siano in grado di enumerare gli ID degli ordini (che sono interi sequenziali). Ciò porta agli ordini che vengono fraudolentemente contrassegnati come completati senza alcun pagamento effettivo, causando perdite finanziarie ed esaurimento dell'inventario.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.