🇰🇷 한글 설명
WWBN AVideo 29.0 이하 버전의 plugin/PayPalYPT/agreementCancel.json.php는 공격자가 제공한 agreement 파라미터로 PayPal 결제 약정을 취소하며, 인증된 사용자가 해당 약정의 소유자인지 확인하지 않습니다. 이로 인해 저권한 사용자가 다른 사용자의 PayPal 약정 ID를 알게 되면 피해자의 정기 구독을 무단으로 중지시킬 수 있습니다. 수정 커밋 0da3dcff1eda2f497694bf82b559829471c292c2에서 이 문제가 해결되었습니다.
💡 쉬운 설명
로그인한 일반 사용자가 다른 사람의 결제 구독 번호만 알면, 그 사람의 유료 구독을 몰래 해지할 수 있는 문제입니다. 플랫폼 수익 손실과 피해자의 서비스 이용 중단으로 이어질 수 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions up to and including 29.0, plugin/PayPalYPT/agreementCancel.json.php cancels a PayPal billing agreement using an attacker-supplied agreement parameter without verifying that the authenticated user owns the agreement. A low-privilege authenticated user who learns or obtains another user's PayPal billing agreement ID can silently suspend the victim's recurring subscription, causing revenue loss to the platform and loss of paid service to the victim. Commit 0da3dcff1eda2f497694bf82b559829471c292c2 contains an updated fix.
📍 영향받는 시스템
WWBN AVideo 29.0 이하 버전 (PayPalYPT 플러그인 사용 환경)
⚔️ 공격 벡터
인증된 저권한 사용자가 타인의 PayPal 결제 약정 ID를 agreement 파라미터에 넣어 agreementCancel.json.php를 호출
🛡️ 대응 방법
AVideo를 0da3dcff1eda2f497694bf82b559829471c292c2 커밋 이후 버전으로 업데이트하고 약정 소유권 검증을 확인
🔧 검증 코드
출력된 코드에 약정 소유자(사용자 ID) 검증 로직이 있으면 패치된 것이고, agreement 값을 그대로 사용해 취소만 하면 취약한 상태입니다.
grep -rn "agreement" $(find / -path '*PayPalYPT/agreementCancel.json.php' 2>/dev/null | head -1) 2>/dev/null | head -20