🇰🇷 한글 설명
Payment Plugins for Stripe WooCommerce WordPress 플러그인 4.0.12 미만 버전에서 주문 키 검증 미흡 취약점이 발견되었습니다. 인증되지 않은 사용자가 순차적인 주문 ID를 대입함으로써 임의의 주문 결제 정보와 접근 비밀 키를 탈취할 수 있습니다.
💡 쉬운 설명
해커가 주문 번호를 하나씩 바꿔가며 입력하면 다른 사람의 결제 정보와 비밀번호를 몰래 훔쳐볼 수 있는 문제입니다. 개인정보가 유출될 위험이 있으니 주의가 필요합니다.
🇺🇸 원문 (English)
The Payment Plugins for Stripe WooCommerce WordPress plugin before 4.0.12 does not validate the order key before adding order data to the JavaScript configuration it outputs on the front end, allowing unauthenticated users to obtain the billing details of any order, together with the secret that gates access to it, by iterating sequential order identifiers.
📍 영향받는 시스템
Payment Plugins for Stripe WooCommerce WordPress plugin version < 4.0.12
⚔️ 공격 벡터
순차적인 주문 식별자(Order ID)를 반복적으로 대입하는 방식 (Insecure Direct Object Reference)
🛡️ 대응 방법
해당 플러그인을 최신 버전인 4.0.12 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 4.0.12 미만인지 체크합니다.
wp plugin list --status=active | grep -E 'stripe-woocommerce-payments'