🇰🇷 한글 설명
Simple Membership WordPress 플러그인 4.7.8 이전 버전에서 PayPal 결제 알림 시 멤버십 등급 검증이 누락되는 취약점이 발견되었습니다. 공격자는 낮은 가격의 멤버십을 결제하면서도 실제로는 더 높은 권한을 가진 멤버십 등급을 부여받을 수 있습니다.
💡 쉬운 설명
결제 금액과 실제 등급이 일치하는지 확인하지 않는 허점이 있습니다. 이를 이용해 싼 가격을 내고도 비싼 유료 회원 권한을 가로챌 수 있습니다.
🇺🇸 원문 (English)
The Simple Membership WordPress plugin before 4.7.8 does not validate that the membership level supplied in a PayPal payment notification matches the level configured for the paid payment button, allowing members to pay for a lower-priced membership while being granted a higher, more privileged membership level.
📍 영향받는 시스템
Simple Membership WordPress plugin version < 4.7.8
⚔️ 공격 벡터
PayPal 결제 알림(IPN) 데이터의 멤버십 등급 값을 조작하여 전송
🛡️ 대응 방법
Simple Membership 플러그인을 최신 버전(4.7.8 이상)으로 업데이트
🔧 검증 코드
출력된 플러그인 목록에서 Simple Membership의 버전을 확인하여 4.7.8 미만인지 체크
wp plugin list --status=active | grep -i 'simple-membership'