🇰🇷 한글 설명
WPForms Lite WordPress 플러그인 2.0.2.2 미만 버전에서 PayPal Commerce 게이트웨이를 사용하는 폼의 결제 완료 여부를 서버 측에서 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 방문자가 결제를 완료하지 않고도 유료 폼 제출을 성공시킬 수 있으며, 결제 기록이 없음에도 확인 메시지와 알림 이메일이 발송됩니다.
💡 쉬운 설명
돈을 내야만 제출할 수 있는 온라인 양식에서 결제 과정을 건너뛰고 바로 제출할 수 있는 보안 결함입니다. 결제는 되지 않았지만 시스템은 결제가 완료된 것으로 착각하여 결과물을 보내주게 됩니다.
🇺🇸 원문 (English)
The WPForms Lite WordPress plugin before 2.0.2.2 does not verify server-side that a payment was completed before accepting a submission on forms using its PayPal Commerce gateway, allowing unauthenticated visitors to submit paid forms without paying. The form's confirmation is delivered and its notification emails are sent even though no order exists at the payment provider and no payment is recorded.
📍 영향받는 시스템
WPForms Lite WordPress plugin version < 2.0.2.2
⚔️ 공격 벡터
PayPal 결제 프로세스를 거치지 않고 직접 폼 제출 요청을 보내는 방식
🛡️ 대응 방법
WPForms Lite 플러그인을 최신 버전(2.0.2.2 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.0.2.2보다 낮으면 취약한 상태입니다.
wp plugin list --status=active | grep -i 'wpforms-lite' && wp plugin list --all | grep -E 'wpforms-lite' | awk '{print $2, $3}'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
Spring Cloud Gateway Server