🇰🇷 한글 설명
WP Express Checkout 플러그인 2.5.0 미만 버전에서 결제 완료 여부를 서버 측에서 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 실제 결제를 수행하지 않고도 주문 상태를 결제 완료로 조작할 수 있습니다.
💡 쉬운 설명
물건값을 내지 않고도 결제가 완료된 것처럼 속여서 주문을 성공시킬 수 있는 보안 결함입니다. 해커가 가짜 결제 신호를 보내 쇼핑몰의 주문 시스템을 기만할 수 있습니다.
🇺🇸 원문 (English)
The WP Express Checkout WordPress plugin before 2.5.0 does not verify server-side that a payment was actually completed before marking an order as paid, allowing unauthenticated users to forge a completed order without paying.
📍 영향받는 시스템
WP Express Checkout WordPress plugin version < 2.5.0
⚔️ 공격 벡터
인증되지 않은 사용자가 결제 완료 프로세스를 조작하여 서버에 가짜 결제 신호를 전송
🛡️ 대응 방법
WP Express Checkout 플러그인을 최신 버전(2.5.0 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 wp-express-checkout의 버전을 확인하여 2.5.0 미만인지 체크합니다.
wp plugin list --allow-root | grep -E 'wp-express-checkout'