CVE-2025-14294 in Razorpay for WooCommerce Plugin
Tóm tắt
Bởi VulDB • 25/06/2026
Plugin Razorpay cho WooCommerce dành cho WordPress dễ bị tổn thương đến việc sửa đổi dữ liệu trái phép do thiếu kiểm tra quyền hạn trên hàm getCouponList() trong tất cả các phiên bản từ 4.7.8 trở về trước, bao gồm cả phiên bản 4.7.8. Nguyên nhân là do callback xác thực quyền checkAuthCredentials() luôn trả về true, không cung cấp bất kỳ cơ chế xác thực nào thực sự. Điều này cho phép những kẻ tấn công chưa được xác thực có thể sửa đổi thông tin liên hệ thanh toán và vận chuyển (email và số điện thoại) của bất kỳ đơn hàng WooCommerce nào bằng cách biết hoặc đoán ID đơn hàng.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.