🇰🇷 한글 설명
WordPress의 Event Tickets and Registration 플러그인에서 권한 확인 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 공격자는 인증 없이 사이트의 Stripe 결제 정보를 자신의 계정으로 덮어씌워 결제 대금을 가로챌 수 있습니다.
💡 쉬운 설명
웹사이트의 결제 설정이 해커의 계정으로 몰래 바뀌어, 고객이 결제한 돈이 원래 주인 대신 해커에게 전달될 수 있는 위험한 문제입니다. 해커가 아무런 로그인 없이도 결제 정보를 조작할 수 있다는 점이 핵심입니다.
🇺🇸 원문 (English)
The Event Tickets and Registration plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the Stripe OAuth return endpoint in all versions up to, and including, 5.27.4. This makes it possible for unauthenticated attackers to overwrite the site's Stripe merchant credentials (access tokens, publishable keys, and account ID), diverting all subsequent payment processing to the attacker's Stripe account.
📍 영향받는 시스템
Event Tickets and Registration plugin (버전 5.27.4 및 그 이하 모든 버전)
⚔️ 공격 벡터
Stripe OAuth 반환 엔드포인트의 권한 검증 미흡을 이용한 인증되지 않은 공격자의 데이터 변조
🛡️ 대응 방법
플러그인을 최신 버전으로 즉시 업데이트하여 권한 검증 로직이 적용된 패치를 적용하십시오.
🔧 검증 코드
명령어 결과에 나타나는 플러그인 버전이 5.27.4 이하인지 확인하십시오.
wp plugin list --allow-root | grep -E 'event-tickets-and-registration'