🇰🇷 한글 설명
WordPress용 Mercado Pago payments for WooCommerce 플러그인의 'mp_pix_image' API 엔드포인트에서 권한 확인 절차가 누락되어 데이터에 무단 접근할 수 있는 취약점이 발견되었습니다. 공격자는 인증 없이 임의의 주문에 대한 PIX 결제 QR 코드 이미지를 가져올 수 있으며, 이 과정에서 가맹점의 개인 식별 정보와 거래 내역이 노출될 수 있습니다.
💡 쉬운 설명
결제 플러그인의 보안 허점으로 인해 누구나 다른 사람의 결제 QR 코드를 몰래 볼 수 있는 문제입니다. 이 QR 코드에는 판매자의 개인 정보와 결제 금액 같은 민감한 정보가 포함되어 있어 위험합니다.
🇺🇸 원문 (English)
The Mercado Pago payments for WooCommerce plugin for WordPress is vulnerable to unauthorized access of data due to a missing capability check on the 'mp_pix_image' WooCommerce API endpoint in all versions up to, and including, 8.7.11. This makes it possible for unauthenticated attackers to retrieve PIX payment QR code images for arbitrary orders. PIX QR codes contain sensitive merchant information including PIX keys (which may be CPF/CNPJ personal identifiers), transaction amounts, merchant name and city, and MercadoPago transaction references.
📍 영향받는 시스템
Mercado Pago payments for WooCommerce plugin (version 8.7.11 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 특정 API 엔드포인트에 요청을 보내 임의의 주문 QR 코드를 탈취
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 버전 번호가 8.7.11 이하인지 확인하십시오.
wp plugin list --allow-root | grep -E 'mercado-pago-payments-for-woocommerce'