🇰🇷 한글 설명
Quick Event Manager 워드프레스 플러그인 9.19 이전 버전은 PayPal 결제 알림의 진위를 검증하지 않고 이벤트 등록을 결제 완료로 표시합니다. 이로 인해 인증되지 않은 공격자가 실제 결제 없이 등록 상태를 결제 완료로 변경할 수 있습니다.
💡 쉬운 설명
이벤트 참가 신청을 한 뒤 실제로 돈을 내지 않아도 결제가 된 것처럼 처리될 수 있는 취약점입니다. 웹사이트 운영자는 플러그인을 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
The Quick Event Manager WordPress plugin before 9.19 does not verify the authenticity of PayPal payment notifications before marking event registrations as paid, which could allow unauthenticated attackers to mark registrations as paid without making a payment.
📍 영향받는 시스템
Quick Event Manager WordPress 플러그인 9.19 이전 버전
⚔️ 공격 벡터
공격자가 위조된 PayPal 결제 알림 요청을 보내 인증 없이 이벤트 등록을 결제 완료 상태로 변경
🛡️ 대응 방법
Quick Event Manager 플러그인을 9.19 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전이 9.19 미만이면 취약하며, 9.19 이상이면 패치된 상태입니다. 명령 결과가 없으면 플러그인이 설치되지 않은 것입니다.
wp plugin list --name=quick-event-manager --fields=name,version 2>/dev/null || grep -rh "Version:" /var/www/*/wp-content/plugins/quick-event-manager/*.php 2>/dev/null | head -n 1