🇰🇷 한글 설명
WPForms WordPress 플러그인 2.0.2 미만 버전에서 결제 객체 검증 미흡 취약점이 발견되었습니다. 인증되지 않은 사용자가 타인의 Stripe 결제 정보를 이용해 환불을 요청하거나 구독을 즉시 취소할 수 있습니다.
💡 쉬운 설명
해커가 가짜 결제 정보를 보내서 다른 사람의 결제 금액을 마음대로 환불시키거나 구독을 취소할 수 있는 문제입니다. 누구나 로그인 없이도 사이트 운영자의 Stripe 계정에 피해를 줄 수 있습니다.
🇺🇸 원문 (English)
The WPForms WordPress plugin before 2.0.2 does not verify that a Stripe payment object supplied during a public form submission belongs to it before acting on it, allowing unauthenticated users to trigger a full refund and an immediate subscription cancellation against payments created by other applications on the site owner's Stripe account.
📍 영향받는 시스템
WPForms WordPress plugin version < 2.0.2
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 Stripe 결제 객체를 공개 폼 제출 시 전송
🛡️ 대응 방법
WPForms 플러그인을 최신 버전(2.0.2 이상)으로 즉시 업데이트
🔧 검증 코드
출력된 WPForms의 버전을 확인하여 2.0.2 미만인지 체크
wp plugin list --status=active | grep -i 'wpforms'