🇰🇷 한글 설명
Super Payments WordPress 플러그인 1.43.1 미만 버전에서 결제 웹훅 알림의 인증을 제대로 검증하지 않는 취약점이 발견되었습니다. 기본 서명 키가 비어 있어 공격자가 유효한 서명을 위조할 수 있으며, 이를 통해 실제 결제 없이 WooCommerce 주문을 결제 완료 상태로 조작할 수 있습니다.
💡 쉬운 설명
결제 확인 과정에서 암호 키가 비어 있는 허점을 이용해, 돈을 내지 않고도 물건을 산 것처럼 속일 수 있는 보안 결함입니다. 공격자가 가짜 결제 완료 신호를 보내 쇼핑몰의 주문 상태를 마음대로 바꿀 수 있습니다.
🇺🇸 원문 (English)
The Super Payments WordPress plugin before 1.43.1 does not properly verify the authenticity of incoming payment webhook notifications, as the signing key used to validate their signature is empty by default, allowing unauthenticated attackers to forge a valid signature and mark arbitrary WooCommerce orders as paid without payment.
📍 영향받는 시스템
Super Payments WordPress plugin version < 1.43.1
⚔️ 공격 벡터
인증되지 않은 공격자가 위조된 결제 웹훅(Webhook) 신호를 전송하여 주문 상태를 조작
🛡️ 대응 방법
Super Payments 플러그인을 1.43.1 이상 버전으로 즉시 업데이트하고 서명 키 설정을 확인하십시오.
🔧 검증 코드
출력된 플러그인 버전이 1.43.1 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'super-payments' && wp plugin list --all | grep -E 'super-payments' | awk '{print $2 " " $3}'