🇰🇷 한글 설명
WooCommerce용 Coinbase Commerce Payment Gateway 플러그인 1.4.1 이하 버전에서 결제 웹훅 알림의 인증을 검증하지 않는 취약점이 발견되었습니다. 공유 비밀키가 기본적으로 비어 있어 인증되지 않은 공격자가 결제 완료 또는 주문 취소 알림을 위조할 수 있습니다.
💡 쉬운 설명
결제 완료 신호를 보내는 과정에서 암호 확인 절차가 제대로 작동하지 않는 문제입니다. 해커가 가짜 결제 완료 신호를 보내 물건을 공짜로 가져가거나 이미 결제된 주문을 취소시킬 수 있습니다.
🇺🇸 원문 (English)
The Coinbase Commerce Payment Gateway for WooCommerce WordPress plugin through 1.4.1 does not verify the authenticity of incoming payment webhook notifications, because the shared secret used to validate the request signature is empty by default and nothing rejects an unconfigured secret, allowing unauthenticated attackers to forge notifications that mark arbitrary orders as paid or cancel already-paid orders.
📍 영향받는 시스템
Coinbase Commerce Payment Gateway for WooCommerce WordPress plugin 1.4.1 이하 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 위조된 결제 웹훅(Webhook) HTTP 요청을 전송
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하고, 설정에서 공유 비밀키(Shared Secret)를 반드시 구성하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 버전 정보를 확인하여 1.4.1 이하인지 점검해야 합니다.
wp plugin list --status=active | grep -i 'coinbase-commerce'