🇰🇷 한글 설명
myCred WordPress 플러그인 3.2.5 미만 버전에서 결제 게이트웨이 알림 수신 시 사이트의 설정된 가맹점 계정과 일치하는지 확인하지 않는 취약점이 존재합니다. 이를 통해 인증되지 않은 공격자가 자신이 제어하는 계정으로 결제를 완료하여 사이트 내 가상 화폐를 임의의 금액만큼 획득할 수 있습니다.
💡 쉬운 설명
결제 완료 알림이 올 때 진짜 우리 가게로 돈이 들어왔는지 확인하지 않는 문제입니다. 공격자가 자기 계정으로 결제한 뒤 가짜 알림을 보내 사이트 포인트를 공짜로 챙길 수 있습니다.
🇺🇸 원문 (English)
The myCred WordPress plugin before 3.2.5 does not verify that the receiver of an incoming payment gateway notification matches the site's configured merchant account, allowing unauthenticated attackers to have arbitrary amounts of the site's in-site currency credited to an account by completing a payment for the expected amount to a gateway account they control rather than the site's.
📍 영향받는 시스템
myCred WordPress plugin version < 3.2.5
⚔️ 공격 벡터
공격자가 자신의 결제 계정으로 소액 결제를 수행한 뒤, 조작된 결제 완료 알림을 사이트에 전송하여 포인트를 획득함
🛡️ 대응 방법
myCred 플러그인을 최신 버전(3.2.5 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 myCred 플러그인의 버전을 확인하여 3.2.5 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'mycred'