🇰🇷 한글 설명
WPForms WordPress 플러그인 1.10.0.5 미만 버전에서 PayPal 웹훅 이벤트의 인증을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 위조된 웹훅 페이로드를 전송하여 임의의 결제 상태를 조작할 수 있습니다.
💡 쉬운 설명
결제 완료 신호를 보내는 과정에서 진짜 PayPal이 보낸 것인지 확인하지 않는 문제입니다. 해커가 가짜 결제 완료 신호를 보내면 물건을 사지 않고도 결제가 완료된 것처럼 속일 수 있습니다.
🇺🇸 원문 (English)
The WPForms WordPress plugin before 1.10.0.5 does not verify the authenticity of incoming PayPal webhook events before processing them, allowing unauthenticated attackers to forge webhook payloads and manipulate the payment state of arbitrary transactions.
📍 영향받는 시스템
WPForms WordPress plugin versions prior to 1.10.0.5
⚔️ 공격 벡터
인증되지 않은 공격자가 위조된 PayPal 웹훅 데이터를 플러그인 엔드포인트로 전송
🛡️ 대응 방법
WPForms 플러그인을 최신 버전인 1.10.0.5 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 wpforms의 버전을 확인하여 1.10.0.5 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'wpforms'