🇰🇷 한글 설명
WordPress용 Hydra Booking 플러그인 1.1.27 이하 버전에서 결제 검증 누락으로 인한 결제 우회 취약점이 발견되었습니다. tfhb_meeting_paypal_payment_confirmation_callback 함수가 PayPal API를 통한 서버 측 검증 없이 클라이언트가 제어하는 결제 확인 데이터를 수락하기 때문에 발생합니다. 이를 통해 인증되지 않은 공격자가 실제 결제 없이 예약을 완료할 수 있습니다.
💡 쉬운 설명
예약 플러그인이 돈을 냈는지 확인하는 과정에서 실제 은행(PayPal)에 물어보지 않고 사용자가 보내는 메시지만 믿는 문제입니다. 이로 인해 공격자가 돈을 한 푼도 내지 않고도 예약 시스템을 마음대로 이용할 수 있습니다.
🇺🇸 원문 (English)
The Hydra Booking — Appointment Scheduling & Booking Calendar plugin for WordPress is vulnerable to missing payment verification to unauthenticated payment bypass in all versions up to, and including, 1.1.27. This is due to the plugin accepting client-controlled payment confirmation data in the tfhb_meeting_paypal_payment_confirmation_callback function without server-side verification with PayPal's API. This makes it possible for unauthenticated attackers to bypass payment requirements and confirm bookings as paid without any actual payment transaction occurring.
📍 영향받는 시스템
Hydra Booking — Appointment Scheduling & Booking Calendar plugin (v1.1.27 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 결제 확인 데이터를 서버로 전송하여 결제 과정을 우회함
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, 결제 확인 로직에 서버 측 API 검증이 포함되었는지 확인하십시오.
🔧 검증 코드
출력된 결과에서 hydra-booking 플러그인의 버전이 1.1.27 이하인지 확인하십시오.
wp plugin list --allow-root | grep -E 'hydra-booking'