🇰🇷 한글 설명
WP Stripe Checkout WordPress 플러그인 1.2.2.62 이전 버전은 Stripe 웹훅 서명 시크릿이 설정되지 않은 경우(기본 상태) 웹훅 서명을 검증하지 않습니다. 이로 인해 인증되지 않은 공격자가 결제 완료 알림을 위조하여 실제 결제 없이 완료된 주문을 생성할 수 있습니다.
💡 쉬운 설명
이 플러그인은 결제가 완료되었는지 확인하는 신호의 진위를 검사하지 않을 때가 있습니다. 공격자는 가짜 결제 완료 신호를 보내 돈을 내지 않고도 주문이 처리되게 만들 수 있습니다.
🇺🇸 원문 (English)
The WP Stripe Checkout WordPress plugin before 1.2.2.62 does not verify the Stripe webhook signature when no signing secret is configured, which is its default state, allowing unauthenticated attackers to forge a payment completion notification and create a completed order without paying.
📍 영향받는 시스템
WP Stripe Checkout WordPress 플러그인 1.2.2.62 미만 버전 (서명 시크릿 미설정 시)
⚔️ 공격 벡터
인증 없이 Stripe 웹훅 엔드포인트로 위조된 결제 완료 이벤트를 전송하여 미결제 주문을 완료 상태로 만듦
🛡️ 대응 방법
플러그인을 1.2.2.62 이상으로 업데이트하고 Stripe 웹훅 서명 시크릿을 반드시 설정
🔧 검증 코드
출력된 버전이 1.2.2.62 미만이면 취약하며, 1.2.2.62 이상이면 패치된 상태입니다. 명령 결과가 없으면 플러그인이 설치되지 않은 것입니다.
wp plugin get wp-stripe-checkout --field=version 2>/dev/null || grep -i 'Version' wp-content/plugins/wp-stripe-checkout/*.php 2>/dev/null | head -1