🇰🇷 한글 설명
Simple Shopping Cart WordPress 플러그인 5.3.3 미만 버전에서 PayPal 결제 알림 검증 과정에 결함이 발견되었습니다. 공격자는 자신의 PayPal 계정으로 결제한 알림을 사이트에 전송하여, 실제 사이트 소유자에게 입금되지 않은 주문을 결제 완료 상태로 조작할 수 있습니다.
💡 쉬운 설명
쇼핑몰 플러그인이 돈이 진짜 가게 주인에게 들어왔는지 확인하지 않는 보안 허점이 있습니다. 해커가 자기 계정으로 결제한 영수증을 가짜로 보내서 물건을 공짜로 주문할 수 있습니다.
🇺🇸 원문 (English)
The Simple Shopping Cart WordPress plugin before 5.3.3 does not verify that a PayPal payment notification is for a payment received by the site owner's PayPal account in its default configuration, allowing unauthenticated attackers to have their orders marked as paid using a payment made to an account they control.
📍 영향받는 시스템
Simple Shopping Cart WordPress plugin version < 5.3.3
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 PayPal 결제 알림(IPN)을 사이트에 전송
🛡️ 대응 방법
Simple Shopping Cart 플러그인을 최신 버전인 5.3.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 5.3.3 미만인지 확인하십시오.
wp plugin list --allow-root | grep 'simple-shopping-cart'