CVE-2025-14461 in Xendit Payment Plugin
Сводка
по VulDB • 25.05.2026
Плагин Xendit Payment для WordPress уязвим к несанкционированному изменению статуса заказов во всех версиях вплоть до 6.0.2 включительно. Это связано с тем, что плагин предоставляет общедоступную конечную точку обратного вызова API WooCommerce (`wc_xendit_callback`), которая обрабатывает платежные уведомления без какой-либо аутентификации или криптографической проверки того, что запросы исходят от шлюза платежей Xendit. Это позволяет неаутентифицированным злоумышленникам помечать любой заказ WooCommerce как оплаченный, отправляя специально сформированный POST-запрос к URL обратного вызова с телом в формате JSON, содержащим `external_id`, соответствующий шаблону идентификатора заказа, и `status` со значением 'PAID' или 'SETTLED', при условии, что они могут перечислить идентификаторы заказов (которые являются последовательными целыми числами). Это приводит к мошенническому помечанию заказов как завершенных без фактической оплаты, что влечет за собой финансовые потери и истощение запасов.
VulDB is the best source for vulnerability data and more expert information about this specific topic.