🇰🇷 한글 설명
Visma Pay for WooCommerce WordPress 플러그인 1.2.2 미만 버전에서 결제 게이트웨이의 반환 요청에 대한 인증 검증이 누락되었습니다. 공격자는 인증되지 않은 상태에서 임의의 주문을 결제 완료 상태로 조작할 수 있으며, 고객의 이름, 이메일, 주소와 같은 개인정보를 탈취할 수 있습니다.
💡 쉬운 설명
결제 완료 확인 과정에서 보안 검사가 제대로 이루어지지 않아, 돈을 내지 않고도 주문을 완료된 것으로 속일 수 있습니다. 또한 이 과정에서 고객의 이름과 주소 같은 소중한 개인정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The Visma Pay for WooCommerce WordPress plugin before 1.2.2 does not verify the authenticity of payment gateway return requests, relying on a merchant secret that is empty on a store which has not entered its credentials, allowing unauthenticated attackers to mark arbitrary orders as paid and to disclose the name, email address and postal address of any order's customer.
📍 영향받는 시스템
Visma Pay for WooCommerce WordPress plugin version < 1.2.2
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 결제 게이트웨이 응답 요청을 전송하여 공격 수행
🛡️ 대응 방법
Visma Pay for WooCommerce 플러그인을 1.2.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 visma-pay 플러그인의 버전이 1.2.2 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'visma-pay'