🇰🇷 한글 설명
WordPress용 Welcart e-Commerce 플러그인 2.12.1 이하 버전에서 Telecom EDY 결제 콜백 처리 중 PHP 객체 주입 취약점이 발견되었습니다. 공격자는 인증 없이 임의의 메타데이터를 저장한 뒤 역직렬화를 유도하여 서버의 파일을 삭제할 수 있으며, 이는 최종적으로 원격 코드 실행으로 이어질 수 있습니다.
💡 쉬운 설명
쇼핑몰 플러그인의 결제 확인 과정에서 보안 허점이 있어, 해커가 가짜 데이터를 보내 서버의 중요한 파일을 지울 수 있습니다. 이 과정이 반복되면 해커가 웹사이트의 제어권을 완전히 뺏을 수도 있습니다.
🇺🇸 원문 (English)
The Welcart e-Commerce plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 2.12.1 via deserialization of untrusted input in the Telecom EDY payment callback (usces_action_acting_transaction). Unauthenticated attackers can store arbitrary 'reserve' key/value pairs as order metadata during a public checkout, then invoke the callback with an attacker-chosen 'option' parameter to select and unserialize that metadata without any provider signature, source-address, transaction-identity or ownership check. A POP chain is present in the TCPDF library bundled with the plugin itself, so no additional plugin or theme is required. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, including wp-config.php, which can lead to remote code execution when an attacker re-runs the WordPress installer against a database they control. Successful exploitation is contingent on an admin printing an invoice to trigger file deletion.
📍 영향받는 시스템
Welcart e-Commerce plugin for WordPress (version 2.12.1 and below)
⚔️ 공격 벡터
인증되지 않은 공격자가 결제 콜백 파라미터를 조작하여 악의적인 객체를 역직렬화함
🛡️ 대응 방법
Welcart e-Commerce 플러그인을 최신 보안 패치 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 Welcart 플러그인의 버전이 2.12.1 이하인지 확인하십시오.
wp plugin list --allow-root | grep -E 'welcart|usces'