🇰🇷 한글 설명
CCAvenue Payment Gateway for WooCommerce WordPress 플러그인(3.1 이하)은 결제 확인 요청이 실제로 결제사에서 왔는지 검증하지 않습니다. 또한 검증 키가 기본 설치에서 비어 있는 값으로부터 파생되어, 인증되지 않은 공격자가 위조된 결제 확인으로 임의의 WooCommerce 주문을 결제 완료 처리할 수 있습니다.
💡 쉬운 설명
이 플러그인은 결제 회사가 보낸 '결제 완료' 알림이 진짜인지 확인하지 않습니다. 공격자는 가짜 알림을 보내 실제 돈을 내지 않고도 주문을 결제 완료 상태로 바꿀 수 있습니다.
🇺🇸 원문 (English)
The CCAvenue Payment Gateway for WooCommerce WordPress plugin through 3.1 does not verify that a payment-confirmation request genuinely originates from the payment provider, and derives its verification key from a value that is empty on a default install, allowing unauthenticated attackers to forge a confirmation and mark any WooCommerce order as paid without payment.
📍 영향받는 시스템
CCAvenue Payment Gateway for WooCommerce 플러그인 3.1 이하를 사용하는 WordPress/WooCommerce 사이트
⚔️ 공격 벡터
인증 없이 결제 확인 엔드포인트에 위조된 요청을 전송하여 기본적으로 빈 검증 키를 이용해 임의 주문을 결제 완료로 표시
🛡️ 대응 방법
플러그인을 3.1 초과의 패치된 버전으로 업데이트하고, 결제 검증 키를 반드시 설정하며, 결제 완료 주문을 결제사 기록과 대조
🔧 검증 코드
출력된 버전이 3.1 이하이면 취약하므로 즉시 업데이트가 필요하고, 출력이 없으면 해당 플러그인이 설치되어 있지 않은 것입니다.
wp plugin list --name=ccavenue-payment-gateway-for-woocommerce --field=version 2>/dev/null || grep -rh "Version:" wp-content/plugins/*ccavenue*/*.php 2>/dev/null | head -1