🇰🇷 한글 설명
CryptoCloud WordPress 플러그인 3.0.0부터 3.0.1 버전은 게이트웨이 콜백으로 수신되는 결제 알림의 진위를 검증하지 않습니다. 웹훅 시크릿이 기본값(빈 값)으로 남아 있을 때 무결성 검사가 생략되어, 인증되지 않은 공격자가 실제 결제 없이 임의의 주문을 결제 완료 또는 실패 상태로 변경할 수 있습니다.
💡 쉬운 설명
결제 시스템이 '결제가 완료되었다'는 알림이 진짜인지 확인하지 않는 취약점입니다. 누구든 가짜 알림을 보내 실제로 돈을 내지 않고도 주문을 결제 완료 처리할 수 있습니다.
🇺🇸 원문 (English)
The CryptoCloud WordPress plugin from 3.0.0 through 3.0.1 does not verify the authenticity of the payment notifications received by its gateway callback, as the integrity check is skipped while the webhook secret is left at its empty default, allowing unauthenticated attackers to mark arbitrary orders as paid or failed without any payment being made.
📍 영향받는 시스템
CryptoCloud WordPress 플러그인 3.0.0 ~ 3.0.1 (웹훅 시크릿이 기본값인 경우)
⚔️ 공격 벡터
인증 없이 게이트웨이 콜백 엔드포인트에 위조된 결제 알림 요청을 전송하여 임의 주문의 상태를 변경
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하고 CryptoCloud 대시보드에서 발급받은 웹훅 시크릿을 반드시 설정
🔧 검증 코드
출력된 버전이 3.0.0 또는 3.0.1이면 취약하며, 3.0.2 이상이면 수정된 버전이고, 아무것도 출력되지 않으면 플러그인이 설치되지 않은 것입니다.
wp plugin get cryptocloud --field=version 2>/dev/null || grep -h 'Version:' $(find /var/www -path '*cryptocloud*' -name '*.php' 2>/dev/null | head -1) 2>/dev/null