CVE-2025-14461 in Xendit Payment Plugin
Sumário
de VulDB • 25/05/2026
O plugin Xendit Payment para WordPress é vulnerável à manipulação não autorizada do status do pedido em todas as versões até, e incluindo, a 6.0.2. Isso ocorre porque o plugin expõe um endpoint de callback da API WooCommerce publicamente acessível (`wc_xendit_callback`) que processa callbacks de pagamento sem qualquer autenticação ou verificação criptográfica de que as solicitações se originam do gateway de pagamentos Xendit. Isso permite que atacantes não autenticados marquem qualquer pedido WooCommerce como pago, enviando uma solicitação POST manipulada para a URL de callback com um corpo JSON contendo um `external_id` correspondente ao padrão do ID do pedido e um `status` de 'PAID' ou 'SETTLED', desde que consigam enumerar os IDs dos pedidos (que são inteiros sequenciais). Isso resulta em pedidos sendo fraudulentamente marcados como concluídos sem qualquer pagamento real, causando perda financeira e esgotamento de estoque.
If you want to get best quality of vulnerability data, you may have to visit VulDB.