🇰🇷 한글 설명
Idram WordPress 플러그인 2.1.6 미만 버전에서 결제 알림의 인증을 검증하지 않는 취약점이 발견되었습니다. 기본적으로 체크섬 계산에 사용되는 가맹점 자격 증명이 비어 있어, 인증되지 않은 공격자가 유효한 결제 확인을 위조하거나 임의의 주문 상태를 조작할 수 있습니다.
💡 쉬운 설명
결제 완료를 알리는 신호가 진짜인지 확인하는 과정이 빠져 있는 보안 결함입니다. 해커가 가짜 결제 신호를 보내 물건을 공짜로 주문하거나 주문 상태를 마음대로 바꿀 수 있습니다.
🇺🇸 원문 (English)
The Payment Gateway for Idram WordPress plugin before 2.1.6 does not verify the authenticity of incoming payment notifications, because the merchant credentials used to compute their checksum are empty by default, allowing unauthenticated attackers to forge a valid payment confirmation and mark arbitrary orders as paid, and to force arbitrary orders into a failed state regardless of the gateway's configuration.
📍 영향받는 시스템
Idram Payment Gateway WordPress plugin version < 2.1.6
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 결제 확인 알림(Webhook/Notification)을 전송하여 결제 프로세스를 위조함
🛡️ 대응 방법
Idram Payment Gateway WordPress 플러그인을 최신 버전(2.1.6 이상)으로 업데이트하고 가맹점 자격 증명을 올바르게 설정하십시오.
🔧 검증 코드
명령어 결과에 Idram 플러그인이 나타나면, wp plugin list --all 명령어를 통해 설치된 버전이 2.1.6 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'idram' && echo 'Check version manually via wp plugin list --all'