🇰🇷 한글 설명
Casso Flow WordPress 플러그인 4.2.0 이전 버전은 수신되는 계좌이체 결제 알림을 제대로 인증하지 않습니다. 기본 설치 시 검증에 사용되는 토큰이 비어 있어, 인증되지 않은 공격자가 위조된 알림을 보내 WooCommerce의 대기 중인 주문을 결제 완료 상태로 바꿀 수 있습니다.
💡 쉬운 설명
결제 완료 여부를 확인하는 장치가 기본 설정에서 사실상 잠겨 있지 않아 누구나 가짜 입금 알림을 보낼 수 있습니다. 그 결과 실제로 돈을 내지 않은 주문도 결제 완료로 처리될 수 있습니다.
🇺🇸 원문 (English)
The Casso Flow WordPress plugin before 4.2.0 does not properly authenticate incoming bank-transfer payment notifications, as the token used to verify them is empty on a default installation, allowing unauthenticated attackers to forge a notification and mark any pending WooCommerce order as paid, regardless of its payment method.
📍 영향받는 시스템
Casso Flow WordPress 플러그인 4.2.0 미만 버전을 WooCommerce와 함께 사용하는 시스템
⚔️ 공격 벡터
공격자가 플러그인의 결제 알림 엔드포인트에 위조된 입금 알림 요청을 보내 대기 중인 주문의 결제 상태를 변경합니다.
🛡️ 대응 방법
Casso Flow 플러그인을 4.2.0 이상으로 업데이트하고, 알림 검증 토큰을 반드시 설정하십시오.
🔧 검증 코드
출력된 버전이 4.2.0 미만이면 취약하며, 4.2.0 이상이면 패치가 적용된 것입니다. 명령 결과가 없으면 플러그인이 설치되어 있지 않은 것입니다.
wp plugin get casso-flow --field=version 2>/dev/null || grep -i 'Version:' wp-content/plugins/casso-flow/*.php 2>/dev/null | head -1