🇰🇷 한글 설명
Payment Integration Wompi WordPress 플러그인 4.0.1 이하 버전은 기본 설치 상태에서 수신되는 결제 알림의 진위를 검증하지 않습니다. 콜백 체크섬이 수동으로 설정하기 전까지 비어 있는 가맹점 시크릿으로 생성되기 때문입니다. 이로 인해 인증되지 않은 공격자가 위조된 알림을 보내 임의의 주문을 결제 완료 상태로 바꿀 수 있습니다.
💡 쉬운 설명
이 플러그인은 결제가 실제로 완료되었는지 확인하지 않은 채 결제 완료 신호를 받아들입니다. 누구든 가짜 신호를 보내 돈을 내지 않고도 주문을 결제 완료로 표시할 수 있습니다.
🇺🇸 원문 (English)
The Payment Integration Wompi WordPress plugin through 4.0.1 does not verify the authenticity of incoming payment notifications on a stock install, because the callback's checksum is keyed on a merchant secret that is empty until it is manually configured, allowing an unauthenticated attacker to forge a notification and mark an arbitrary order as paid.
📍 영향받는 시스템
Payment Integration Wompi WordPress 플러그인 4.0.1 이하 버전 (가맹점 시크릿을 설정하지 않은 기본 설치)
⚔️ 공격 벡터
인증되지 않은 공격자가 빈 시크릿으로 유효한 체크섬을 계산해 위조된 결제 알림 콜백을 전송하여 임의의 주문을 결제 완료로 변경
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하고 Wompi 가맹점 시크릿을 반드시 설정하며, 결제 상태를 가맹점 측 API로 교차 검증
🔧 검증 코드
출력된 버전이 4.0.1 이하이면 취약하며, 플러그인 설정에서 가맹점 시크릿이 비어 있다면 특히 위험합니다.
wp plugin get payment-integration-wompi --field=version 2>/dev/null || grep -i 'Version' wp-content/plugins/*wompi*/*.php 2>/dev/null | head -n 1