CVE-2025-14971: Luka w wtyczce Link Invoice Payment dla WooCommerce umożliwia nieautoryzowaną modyfikację płatności

Co wiadomo

Wtyczka Link Invoice Payment dla WooCommerce do WordPressa posiada lukę, która pozwala nieautoryzowanym użytkownikom na tworzenie i anulowanie częściowych płatności poprzez brak odpowiedniej weryfikacji uprawnień w funkcjach createPartialPayment i cancelPartialPayment. Luka dotyczy wszystkich wersji do 2.8.0 włącznie.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą manipulować płatnościami częściowymi zamówień, co może prowadzić do zakłóceń w procesie rozliczeń i potencjalnych strat finansowych. Właściciele sklepów internetowych korzystający z tej wtyczki powinni rozważyć ryzyko nadużyć i wpływ na zaufanie klientów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji płatności, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetem jest minimalizacja ekspozycji na atak i szybka reakcja.

Źródła

• NVD
• Reference
• Reference
• Reference