🇰🇷 한글 설명
LatePoint WordPress 플러그인 5.7.5 미만 버전에서 클라이언트가 제공한 예약 금액 값을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 방문자가 결제 금액을 0원으로 조작하여 결제 없이 예약을 확정하고 주문을 생성할 수 있습니다.
💡 쉬운 설명
예약할 때 내야 하는 돈을 사용자가 마음대로 0원으로 바꿔서 결제 없이 서비스를 예약할 수 있는 문제입니다. 돈을 내지 않고도 예약이 완료되어 버리는 보안 허점이 있습니다.
🇺🇸 원문 (English)
The LatePoint WordPress plugin before 5.7.5 does not validate the client-supplied value that determines how much is charged for a booking against the amounts the service and site actually allow, allowing an unauthenticated visitor to make the amount due resolve to zero and obtain a confirmed appointment and a recorded order without completing any payment.
📍 영향받는 시스템
LatePoint WordPress plugin version < 5.7.5
⚔️ 공격 벡터
HTTP 요청 시 클라이언트 측에서 예약 금액 파라미터를 0으로 조작하여 전송
🛡️ 대응 방법
LatePoint 플러그인을 최신 버전인 5.7.5 이상으로 즉시 업데이트
🔧 검증 코드
출력된 latepoint 플러그인의 버전이 5.7.5 미만인지 확인
wp plugin list --allow-root | grep -E 'latepoint'