🇰🇷 한글 설명
GiveWP WordPress 플러그인 4.16.3 미만 버전에서 관리자가 비활성화한 결제 게이트웨이를 제한하지 않는 취약점이 발견되었습니다. 공격자는 요청 입력을 조작하여 인증되지 않은 상태에서도 관리자가 차단한 결제 수단을 통해 기부를 완료할 수 있습니다.
💡 쉬운 설명
관리자가 사용하지 못하게 막아둔 결제 수단을 해커가 강제로 사용하여 결제를 진행할 수 있는 문제입니다. 이를 통해 비정상적인 결제 경로가 허용될 위험이 있습니다.
🇺🇸 원문 (English)
The GiveWP WordPress plugin before 4.16.3 does not restrict the set of available payment gateways to those enabled by the administrator, deriving it in part from request input, which allows unauthenticated users to complete donations through a payment gateway the administrator has disabled.
📍 영향받는 시스템
GiveWP WordPress plugin versions prior to 4.16.3
⚔️ 공격 벡터
조작된 요청 입력을 통한 비활성화된 결제 게이트웨이 호출
🛡️ 대응 방법
GiveWP 플러그인을 최신 버전인 4.16.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 GiveWP 플러그인의 버전을 확인하여 4.16.3 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'givewp'