🇰🇷 한글 설명
Paystack 결제 폼 WordPress 플러그인 4.0.6 이전 버전은 저장된 설정을 표시하는 페이지에 대한 접근 통제가 제대로 되어 있지 않습니다. 이로 인해 Contributor 이상 권한을 가진 사용자가 라이브 및 테스트 시크릿 키를 포함한 결제 게이트웨이 API 자격 증명을 조회할 수 있으며, 이 키로 사이트 소유자의 결제 계정에 전면 접근이 가능합니다.
💡 쉬운 설명
글을 작성하는 권한만 가진 일반 사용자도 웹사이트의 결제 시스템 비밀번호를 볼 수 있는 문제입니다. 이 정보로 사이트 주인의 결제 계정을 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
The Payment Forms for Paystack WordPress plugin before 4.0.6 does not properly restrict access to a page that displays its stored configuration, allowing users with the Contributor role and above to view secret payment-gateway API credentials, both the live and test secret keys, which grant full access to the site owner's payment account.
📍 영향받는 시스템
Payment Forms for Paystack WordPress 플러그인 4.0.6 미만 버전
⚔️ 공격 벡터
Contributor 이상 권한의 계정으로 로그인한 후 설정 표시 페이지에 접근하여 라이브/테스트 시크릿 키를 열람
🛡️ 대응 방법
Payment Forms for Paystack 플러그인을 4.0.6 이상으로 업데이트하고, 노출된 Paystack 시크릿 키를 즉시 재발급(rotate)
🔧 검증 코드
출력된 버전이 4.0.6 미만이면 취약하므로 업데이트가 필요하고, 4.0.6 이상이면 해당 취약점이 수정된 상태입니다.
wp plugin get payment-forms-for-paystack --field=version 2>/dev/null || grep -m1 'Version:' wp-content/plugins/payment-forms-for-paystack/*.php 2>/dev/null