🇰🇷 한글 설명
Integrate PhonePe with WooCommerce WordPress 플러그인 1.2.1 버전에서 결제 검증 로직의 결함이 발견되었습니다. 공격자가 유효한 결제 트랜잭션을 재사용하여 임의의 주문을 결제 완료 상태로 조작하고 결제 과정을 우회할 수 있습니다.
💡 쉬운 설명
실제로 돈을 내지 않고도 결제가 완료된 것처럼 속여 물건을 주문할 수 있는 보안 취약점입니다. 한 번 성공한 결제 정보를 재사용하여 다른 주문까지 가짜로 결제 처리할 수 있습니다.
🇺🇸 원문 (English)
The Integrate PhonePe with WooCommerce WordPress plugin through 1.2.1 does not validate that a verified payment transaction belongs to the order being marked as paid, nor does it verify the authenticity of its payment-completion request, allowing unauthenticated attackers to reuse a single valid transaction to mark arbitrary orders as paid and bypass payment.
📍 영향받는 시스템
Integrate PhonePe with WooCommerce WordPress plugin version 1.2.1 and below
⚔️ 공격 벡터
인증되지 않은 공격자가 유효한 결제 완료 요청을 재전송하여 임의의 주문 상태를 변경
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치 여부를 확인하고, 설치된 버전이 1.2.1 이하인지 확인하십시오.
wp plugin list --status=active | grep -i 'phonepe'