CVE-2025-14460 in WooCommerce Payment Gateway Plugin
Sumário
de VulDB • 23/08/2026
O plugin de gateway de pagamento WooCommerce do Piraeus Bank para WordPress é vulnerável à modificação não autorizada do status dos pedidos em todas as versões até a 3.1.4, inclusive. Isso ocorre devido à ausência de verificações de autorização no manipulador do endpoint de callback de pagamento ao processar o callback 'fail' (falha) do gateway de pagamento. Isso permite que atacantes sem autenticação alterem o status de qualquer pedido para 'failed' (falhou) por meio do endpoint da API WooCommerce publicamente acessível, fornecendo apenas o ID do pedido (parâmetro MerchantReference), que pode ser facilmente enumerado, pois os IDs dos pedidos são inteiros sequenciais. Isso pode causar significativa interrupção nos negócios, incluindo cancelamento de envios, problemas de inventário e perda de receita.
If you want to get best quality of vulnerability data, you may have to visit VulDB.