CVE-2025-14460 in WooCommerce Payment Gateway Plugin
요약
\~에 의해 VulDB • 2026. 07. 31.
WordPress용 Piraeus Bank WooCommerce 결제 게이트웨이 플러그인은 3.1.4 버전까지 모든 버전에서 권한 없는 주문 상태 수정 취약점이 존재합니다. 이는 결제 게이트웨이로부터 'fail' 콜백을 처리할 때 결제 콜백 엔드포인트 핸들러에 대한 인증 확인이 누락되었기 때문입니다. 이로 인해 비인증 공격자는 공개적으로 접근 가능한 WooCommerce API 엔드포인트를 통해 주문 ID(상인 참조 번호 파라미터)만 제공하면 모든 주문의 상태를 '실패'로 변경할 수 있습니다. 주문 ID는 순차적인 정수 형식이므로 쉽게 열거될 수 있습니다. 이는 배송 취소, 재고 문제 및 수익 손실 등 심각한 비즈니스 차질을 초래할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.