🇰🇷 한글 설명
Airwallex Online Payments Gateway WordPress 플러그인 1.36.0 미만 버전에서 웹훅 비밀키가 설정되지 않았을 때 결제 알림의 진위 여부를 검증하지 못하는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 결제 완료 알림을 위조하여 실제 결제 없이 주문 상태를 결제 완료로 변경할 수 있습니다.
💡 쉬운 설명
결제 시스템이 가짜 결제 완료 신호를 진짜로 믿어버리는 문제입니다. 해커가 돈을 내지 않고도 물건을 샀다고 시스템을 속일 수 있습니다.
🇺🇸 원문 (English)
The Airwallex Online Payments Gateway WordPress plugin before 1.36.0 does not verify that an incoming payment notification genuinely comes from the payment provider when no webhook secret has been configured, allowing unauthenticated attackers to forge one and mark orders as paid without paying.
📍 영향받는 시스템
Airwallex Online Payments Gateway WordPress plugin version < 1.36.0
⚔️ 공격 벡터
웹훅 비밀키 미설정 상태를 이용한 가짜 결제 완료 알림(Webhook) 전송
🛡️ 대응 방법
플러그인을 1.36.0 이상 버전으로 업데이트하고 웹훅 비밀키(Webhook Secret)를 반드시 설정하십시오.
🔧 검증 코드
출력된 플러그인 버전이 1.36.0 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'airwallex-online-payments-gateway'