🇰🇷 한글 설명
macrozheng mall 1.0.3 이하 버전의 mall-portal 컴포넌트 내 OmsPortalOrderServiceImpl 함수에서 취약점이 발견되었습니다. /order/generate 경로의 coupon_amount 및 pay_amount 인자를 조작하여 비즈니스 로직 오류를 유발할 수 있습니다. 공격자는 원격에서 이 취약점을 악용할 수 있습니다.
💡 쉬운 설명
쇼핑몰 주문 과정에서 쿠폰 금액이나 결제 금액을 임의로 수정할 수 있는 결함이 있습니다. 이를 통해 실제 가격보다 낮은 금액으로 주문하는 등의 부정 결제가 발생할 수 있습니다.
🇺🇸 원문 (English)
A weakness has been identified in macrozheng mall up to 1.0.3. This vulnerability affects the function OmsPortalOrderServiceImpl of the file /order/generateOrder of the component mall-portal. This manipulation of the argument coupon_amount/pay_amount causes business logic errors. The attack is possible to be carried out remotely. The vendor deleted the GitHub issue for this vulnerability without any explanation.
📍 영향받는 시스템
macrozheng mall 1.0.3 이하 버전
⚔️ 공격 벡터
원격에서 주문 생성 API의 인자값(coupon_amount, pay_amount)을 조작하여 공격
🛡️ 대응 방법
해당 취약점이 해결된 최신 버전으로 업데이트하거나, 서버 측에서 결제 금액 검증 로직을 강화해야 합니다.
🔧 검증 코드
명령어 결과로 해당 클래스 파일이 존재하고 소스 코드 내에 관련 로직이 확인되면 취약한 버전일 가능성이 높습니다.
grep -r "OmsPortalOrderServiceImpl" /path/to/macrozheng-mall/mall-portal/src/main/java/com/macrozheng/mall/portal/service/impl/ 2>/dev/null