🇰🇷 한글 설명
WordPress용 Oceanpayment CreditCard Gateway 플러그인의 'return_payment' 및 'notice_payment' 함수에서 인증 및 권한 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 공격자가 WooCommerce 주문 상태를 '실패(failed)'로 변경하거나 트랜잭션 ID를 임의로 수정할 수 있습니다.
💡 쉬운 설명
결제 플러그인의 보안 구멍을 통해 누구나 결제 결과를 조작할 수 있는 문제입니다. 공격자가 실제 결제 여부와 상관없이 주문 상태를 마음대로 바꿀 수 있어 금전적 손실을 초래할 수 있습니다.
🇺🇸 원문 (English)
The Oceanpayment CreditCard Gateway plugin for WordPress is vulnerable to unauthenticated and unauthorized modification of data due to missing authentication and capability checks on the 'return_payment' and 'notice_payment' functions in all versions up to, and including, 6.0. This makes it possible for unauthenticated attackers to update WooCommerce orders to 'failed' status, and update transaction IDs.
📍 영향받는 시스템
Oceanpayment CreditCard Gateway plugin for WordPress (버전 6.0 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 요청을 통해 결제 관련 함수를 직접 호출하여 데이터를 수정함
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 버전이 6.0 이하인지 확인하십시오.
wp plugin list --allow-root | grep -E 'oceanpayment-creditcard-gateway'