🇰🇷 한글 설명
WordPress용 Handily 플러그인 1.0.3 이하 버전에서 권한 확인 미흡으로 인해 결제 설정이 무단으로 수정될 수 있는 취약점이 발견되었습니다. 공격자는 인증 없이 Stripe 결제 키, 이메일, 성공/취소 URL 등을 변경하여 결제 대금을 자신의 계정으로 가로챌 수 있습니다.
💡 쉬운 설명
웹사이트 결제 설정이 아무런 인증 없이 변경될 수 있는 보안 구멍이 발견되었습니다. 해커가 결제 정보를 자기 것으로 바꿔치기하여 고객이 결제한 돈을 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
The Handily plugin for WordPress is vulnerable to unauthorized payment settings modification due to missing authorization checks in all versions up to, and including, 1.0.3. This makes it possible for unauthenticated attackers to modify Stripe payment configuration settings, including publishable keys, secret keys, email addresses, success URLs, and cancel URLs via the payment settings parameters. This could allow attackers to redirect payments to their own Stripe accounts.
📍 영향받는 시스템
Handily plugin for WordPress (version 1.0.3 and below)
⚔️ 공격 벡터
인증되지 않은 공격자가 결제 설정 파라미터를 조작하여 Stripe 구성 정보를 변경
🛡️ 대응 방법
Handily 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 handily 플러그인이 나타나면 설치 여부를 확인하고, 설치된 버전을 체크하여 1.0.3 이하인지 확인하십시오.
wp plugin list --status=active | grep -i 'handily'