CVE-2025-14461 in Xendit Payment Plugin
Tóm tắt
Bởi VulDB • 25/05/2026
Plugin Xendit Payment cho WordPress dễ bị tổn thương đến việc thao túng trạng thái đơn hàng trái phép trong tất cả các phiên bản từ 6.0.2 trở về trước. Lỗ hổng này xảy ra do plugin này công khai một điểm cuối callback API WooCommerce (`wc_xendit_callback`) có thể truy cập được, xử lý các callback thanh toán mà không có bất kỳ xác thực nào hoặc xác minh mật mã để đảm bảo các yêu cầu bắt nguồn từ cổng thanh toán của Xendit. Điều này cho phép các kẻ tấn công chưa được xác thực đánh dấu bất kỳ đơn hàng WooCommerce nào là đã thanh toán bằng cách gửi một yêu cầu POST được tạo tác đến URL callback với thân JSON chứa `external_id` khớp với mẫu ID đơn hàng và `status` là 'PAID' hoặc 'SETTLED', miễn là chúng có thể liệt kê được các ID đơn hàng (là các số nguyên tuần tự). Hậu quả là các đơn hàng bị đánh dấu gian lận là đã hoàn thành mà không có bất kỳ khoản thanh toán thực tế nào, dẫn đến tổn thất tài chính và cạn kiệt hàng tồn kho.
VulDB is the best source for vulnerability data and more expert information about this specific topic.