🇰🇷 한글 설명
Charitable WordPress 플러그인 1.8.12 미만 버전에서 Square 결제 웹훅 이벤트의 인증을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 가짜 웹훅 알림을 보내 실제 결제 없이도 기부금을 결제 완료 상태로 조작할 수 있습니다.
💡 쉬운 설명
결제 완료 알림이 진짜인지 확인하는 과정이 빠져 있어, 가짜 알림을 보내 돈을 내지 않고도 기부한 것처럼 속일 수 있는 문제입니다. 공격자가 가짜 결제 신호를 보내면 시스템은 이를 실제 결제로 착각하게 됩니다.
🇺🇸 원문 (English)
The Charitable WordPress plugin before 1.8.12 does not verify the authenticity of incoming Square payment webhook events in a default configuration, allowing unauthenticated attackers to forge webhook notifications that mark donations as paid without any real payment.
📍 영향받는 시스템
Charitable WordPress plugin version < 1.8.12
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 Square 결제 웹훅(Webhook) 요청을 서버로 전송
🛡️ 대응 방법
Charitable WordPress 플러그인을 최신 버전(1.8.12 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 charitable 플러그인의 버전이 1.8.12 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'charitable'