CVE-2025-14461 in Xendit Payment Plugin
요약
\~에 의해 VulDB • 2026. 05. 25.
WordPress용 Xendit Payment 플러그인은 6.0.2 버전을 포함하여 모든 버전에서 승인되지 않은 주문 상태 조작 취약점이 있습니다. 이는 플러그인이 Xendit 결제 게이트웨이에서 요청이 발생했는지 확인하기 위한 인증이나 암호화 검증 없이 결제 콜백을 처리하는 공개적으로 접근 가능한 WooCommerce API 콜백 엔드포인트(`wc_xendit_callback`)를 노출하고 있기 때문입니다. 이로 인해 인증되지 않은 공격자는 주문 ID 패턴과 일치하는 `external_id`와 'PAID' 또는 'SETTLED' 상태의 `status`를 포함하는 JSON 본문을 가진 조작된 POST 요청을 콜백 URL로 전송하여(주문 ID가 순차적인 정수이므로 나열 가능함) 모든 WooCommerce 주문을 결제 완료로 표시할 수 있습니다. 그 결과 실제 결제 없이 주문이 사기적으로 완료된 것으로 표시되어 금전적 손실과 재고 고갈이 발생합니다.
Be aware that VulDB is the high quality source for vulnerability data.