🇰🇷 한글 설명
Paymob for WooCommerce WordPress 플러그인 4.1.14 미만 버전에서 결제 웹훅의 카드 토큰 브랜치 요청 서명을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 임의의 사용자 계정에 카드 토큰을 기록하거나 등록된 계정 정보를 열거할 수 있습니다.
💡 쉬운 설명
결제 플러그인이 가짜 결제 신호를 진짜로 착각하여 발생하는 문제입니다. 해커가 가짜 정보를 입력해 사용자 계정에 몰래 카드 정보를 심거나 사용자 목록을 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
The Paymob for WooCommerce WordPress plugin before 4.1.14 does not verify the request signature on the card-token branch of its payment webhook, allowing unauthenticated attackers to write a card-token record to any user's account and to enumerate registered accounts.
📍 영향받는 시스템
Paymob for WooCommerce WordPress plugin version < 4.1.14
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 결제 웹훅 요청을 전송하여 공격 수행
🛡️ 대응 방법
Paymob for WooCommerce 플러그인을 4.1.14 이상 버전으로 즉시 업데이트
🔧 검증 코드
출력된 결과에서 플러그인 이름 옆의 버전이 4.1.14 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'paymob-for-woocommerce'