CVE-2025-15565
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Nexi XPay dla WordPress w wersjach do 8.3.0 zawiera podatność na nieautoryzowaną modyfikację danych z powodu braku kontroli autoryzacji w funkcji redirect. Umożliwia to nieuwierzytelnionym atakującym oznaczanie oczekujących zamówień WooCommerce jako opłaconych/zakończonych.
Ocena ryzyka
Atakujący może fałszować statusy płatności, co może prowadzić do wysyłki towarów bez rzeczywistej zapłaty, strat finansowych i naruszenia integralności danych zamówień.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Nexi XPay do najnowszej wersji oraz wdrożenie dodatkowych kontroli autoryzacji dla funkcji redirect.
Oryginalny opis (angielski, źródło NVD)
The Nexi XPay plugin for WordPress is vulnerable to unauthorized modification of data due to missing authorization checks on the redirect function in all versions up to, and including, 8.3.0. This makes it possible for unauthenticated attackers to mark pending WooCommerce orders as paid/completed.