🇰🇷 한글 설명
Buckaroo Woocommerce Payments Plugin 4.9.0 미만 버전에서 결제 환불을 처리하는 AJAX 액션에 대한 권한 확인 및 논스(nonce) 검증이 누락되었습니다. 이로 인해 구독자(Subscriber)를 포함한 모든 인증된 사용자가 이미 결제 완료된 주문에 대해 환불을 실행할 수 있습니다.
💡 쉬운 설명
로그인만 하면 누구나 권한 없이 쇼핑몰의 결제 환불을 마음대로 실행할 수 있는 보안 결함입니다. 악의적인 사용자가 고객의 결제 금액을 부당하게 환불시켜 금전적 손실을 입힐 수 있습니다.
🇺🇸 원문 (English)
The Buckaroo Woocommerce Payments Plugin WordPress plugin before 4.9.0 does not perform any capability check or nonce validation on an AJAX action that processes payment capture refunds, allowing any authenticated user, including Subscribers, to trigger refunds against captured orders.
📍 영향받는 시스템
Buckaroo Woocommerce Payments Plugin WordPress plugin version < 4.9.0
⚔️ 공격 벡터
인증된 사용자(구독자 포함)가 적절한 권한 검증 없이 환불 처리 AJAX 요청을 전송
🛡️ 대응 방법
Buckaroo Woocommerce Payments Plugin을 4.9.0 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 4.9.0 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'buckaroo-woocommerce-payments'