🇰🇷 한글 설명
UnitechPay WordPress 플러그인 1.0.6.3 이하 버전에서 결제 알림의 인증을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 실제 결제 없이 주문 상태를 '결제 완료'로 조작하거나, 다른 주문을 '실패' 상태로 강제 변경할 수 있습니다.
💡 쉬운 설명
결제 시스템이 가짜 결제 완료 신호를 진짜로 믿어버리는 문제입니다. 해커가 돈을 내지 않고도 물건을 산 것처럼 속이거나 다른 사람의 주문을 취소시킬 수 있습니다.
🇺🇸 원문 (English)
The UnitechPay WordPress plugin through 1.0.6.3 does not verify the authenticity of the payment notifications it receives, allowing unauthenticated attackers to mark orders placed through it as paid without any payment being made, as well as to force other orders into a failed state.
📍 영향받는 시스템
UnitechPay WordPress plugin version 1.0.6.3 and below
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 결제 알림(Payment Notification)을 서버로 전송
🛡️ 대응 방법
UnitechPay 플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 UnitechPay 플러그인이 나타나면 설치된 것이며, 버전이 1.0.6.3 이하인지 확인해야 합니다.
wp plugin list --allow-root | grep -i 'unitechpay'