🇰🇷 한글 설명
WordPress용 Crypto Payment Gateway with Payeer for WooCommerce 플러그인의 모든 버전(1.0.3 포함)에서 결제 우회 취약점이 발견되었습니다. /wc-api/bp-payeer-gateway-callback 엔드포인트를 통한 서버 측 결제 상태 검증이 제대로 이루어지지 않아 발생합니다. 이를 통해 인증되지 않은 공격자가 미결제 주문 상태를 결제 완료로 변경하여 수익 손실을 초래할 수 있습니다.
💡 쉬운 설명
가상화폐 결제 플러그인이 실제로 돈이 들어왔는지 확인하는 과정이 허술하여 발생하는 문제입니다. 해커가 가짜 결제 신호를 보내 물건값을 치르지 않고도 주문을 완료할 수 있습니다.
🇺🇸 원문 (English)
The Crypto Payment Gateway with Payeer for WooCommerce plugin for WordPress is vulnerable to payment bypass in all versions up to, and including, 1.0.3. This is due to the plugin not properly verifying a payments status through server-side validation though the /wc-api/bp-payeer-gateway-callback endpoint. This makes it possible for unauthenticated attackers to update unpaid order statuses to paid resulting in a loss of revenue.
📍 영향받는 시스템
WooCommerce Crypto Payment Gateway with Payeer 플러그인 1.0.3 이하 모든 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 결제 콜백 요청을 엔드포인트로 전송
🛡️ 대응 방법
플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하거나 해당 결제 모듈 사용 중단
🔧 검증 코드
출력된 플러그인 버전이 1.0.3 이하인지 확인하여 취약 여부를 판단합니다.
wp plugin list --status=active | grep -i 'payeer' && wp plugin list --all | grep -E 'payeer' | awk '{print $2 " " $3}'