🇰🇷 한글 설명
SUMIT Payment Gateway for WooCommerce WordPress 플러그인 4.0.0 미만 버전에서 결제 알림의 진위 여부를 확인하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 실제 결제를 완료하지 않고도 대기 중인 주문을 결제 완료 상태로 변경할 수 있습니다.
💡 쉬운 설명
결제가 실제로 되었는지 확인하는 과정이 빠져 있어서, 돈을 내지 않고도 주문을 완료된 것으로 속일 수 있는 문제입니다. 해커가 가짜 결제 신호를 보내면 시스템이 이를 진짜로 믿어버리는 상황입니다.
🇺🇸 원문 (English)
The SUMIT Payment Gateway for WooCommerce WordPress plugin before 4.0.0 does not verify with the payment provider that a payment notification is genuine before marking the corresponding order as paid, allowing unauthenticated users to mark a pending order paid without completing payment.
📍 영향받는 시스템
SUMIT Payment Gateway for WooCommerce WordPress plugin version < 4.0.0
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 결제 완료 알림(Webhook/Notification)을 서버로 전송
🛡️ 대응 방법
SUMIT Payment Gateway for WooCommerce 플러그인을 4.0.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 설치된 버전이 4.0.0 미만인지 확인해야 합니다.
wp plugin list --status=active | grep -i 'sumit-payment-gateway'