🇰🇷 한글 설명
PayHere Payment Gateway WordPress 플러그인 2.4.0부터 2.4.5까지는 가맹점 시크릿(merchant secret)이 설정되지 않은 경우(기본 상태)에 결제 알림의 진위를 검증하지 않습니다. 이로 인해 인증되지 않은 공격자가 위조된 결제 확인 신호를 보내 실제 결제 없이 임의의 주문을 결제 완료 상태로 표시할 수 있습니다.
💡 쉬운 설명
결제 시스템이 '실제로 돈이 들어왔는지' 확인하지 않는 허점이 있습니다. 해커가 가짜 결제 완료 메시지를 보내면 돈을 내지 않고도 주문이 완료 처리될 수 있습니다.
🇺🇸 원문 (English)
The PayHere Payment Gateway WordPress plugin from 2.4.0 through 2.4.5 does not verify the authenticity of payment notifications when the merchant secret is unset, which is the default state, allowing unauthenticated attackers to forge a payment confirmation and mark any order as paid without payment.
📍 영향받는 시스템
PayHere Payment Gateway WordPress 플러그인 2.4.0 ~ 2.4.5 (merchant secret 미설정 시)
⚔️ 공격 벡터
인증 없이 위조된 결제 알림(웹훅/콜백) 요청을 전송하여 임의 주문을 결제 완료로 변경
🛡️ 대응 방법
플러그인을 2.4.6 이상으로 업데이트하고 PayHere 대시보드에서 merchant secret을 반드시 설정
🔧 검증 코드
출력된 버전이 2.4.0~2.4.5 범위에 해당하면 취약하므로 즉시 업데이트가 필요하고, 2.4.6 이상이면 패치된 상태입니다.
wp plugin get payhere-payment-gateway --field=version 2>/dev/null || grep -i 'Version' wp-content/plugins/payhere*/payhere*.php 2>/dev/null | head -1