🇰🇷 한글 설명
Restaurant Menu and Food Ordering WordPress 플러그인 2.4.12 미만 버전에서 PayPal 결제 알림의 진위 여부를 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 가짜 결제 알림을 보내 실제 결제 없이도 주문 상태를 결제 완료로 조작할 수 있습니다.
💡 쉬운 설명
음식 주문 플러그인이 결제 완료 신호가 진짜 PayPal에서 온 것인지 확인하지 않는 문제입니다. 해커가 가짜 결제 신호를 보내 돈을 내지 않고도 주문을 완료할 수 있습니다.
🇺🇸 원문 (English)
The Restaurant Menu and Food Ordering WordPress plugin before 2.4.12 does not verify that a PayPal payment notification genuinely originates from PayPal, allowing unauthenticated attackers to forge a payment notification and mark their own order as paid and completed without making any payment.
📍 영향받는 시스템
Restaurant Menu and Food Ordering WordPress plugin version < 2.4.12
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 PayPal 결제 알림(IPN)을 서버로 전송
🛡️ 대응 방법
해당 플러그인을 최신 버전인 2.4.12 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 2.4.12 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'restaurant-menu-food-ordering'