プラットフォーム
wordpress
コンポーネント
cartasi-x-pay
修正版
8.3.1
8.3.2
CVE-2025-15565 is a medium-severity vulnerability affecting the Nexi XPay plugin for WordPress. This flaw allows unauthenticated attackers to manipulate WooCommerce order statuses, specifically marking pending orders as paid or completed. The vulnerability exists in versions up to and including 8.3.0, and a patch is available in version 8.3.2.
CVE-2025-15565は、WordPressのNexi XPayプラグインにおいて、不正なデータ変更を可能にする脆弱性です。リダイレクト機能における認証チェックの欠如により、未認証の攻撃者が保留中のWooCommerceの注文を支払い済み/完了済みにマークすることができます。これにより、注文が実際に支払いが行われていないにもかかわらず、支払い済みとして処理されるため、販売者にとって経済的な損失につながる可能性があります。CVSSスコアは5.3であり、中程度のリスクを示しています。この脆弱性は、8.3.0およびそれ以前のすべてのプラグインバージョンに影響します。このリスクを軽減するために、プラグインを迅速に更新することが重要です。
攻撃者は、Nexi XPayプラグインのリダイレクト機能に悪意のあるリクエストを送信することにより、この脆弱性を悪用する可能性があります。このリクエストは、認証なしで保留中のWooCommerce注文のステータスを「支払い済み」または「完了済み」に変更するように設計されています。攻撃者は、cURLやカスタムスクリプトなどのツールを使用して、このプロセスを自動化できます。エクスプロイトの難易度は比較的低く、高度な技術スキルやWordPress管理パネルへのアクセスは必要ありません。潜在的な影響は大きく、攻撃者が支払いプロセスを操作し、結果として製品またはサービスを支払いなしで取得する可能性があります。
エクスプロイト状況
EPSS
0.05% (15% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性の解決策は、Nexi XPayプラグインをバージョン8.3.2以降に更新することです。このバージョンには、リダイレクト機能に必要な認証チェックを実装するための必要な修正が含まれています。できるだけ早く更新して、WordPressウェブサイトとデータを保護することを強くお勧めします。さらに、以前の脆弱性の悪用を示唆する可能性のある疑わしいアクティビティがないか、WooCommerceの監査ログを確認してください。Webアプリケーションファイアウォール（WAF）を実装し、注文の操作を試みることをブロックするルールを構成することを検討してください。
バージョン8.3.2、またはそれ以降の修正バージョンにアップデートしてください
脆弱性分析と重要アラートをメールでお届けします。
これは、WordPressのNexi XPayプラグインの特定のセキュリティ脆弱性に対する一意の識別子です。
Nexi XPayプラグインのバージョンが8.3.2より古い場合、ウェブサイトは脆弱です。
WooCommerceの監査ログを確認し、すべてのユーザーのパスワードを変更し、クリーンなバックアップから復元することを検討してください。
Nexi XPayプラグインを一時的に無効にすることは、一時的な解決策になる可能性がありますが、Nexiでの支払い処理能力に影響します。
更新されたバージョン（8.3.2以降）は、WordPressプラグインリポジトリまたはNexiの公式ウェブサイトからダウンロードできます。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。