🇰🇷 한글 설명
PAYCOMET for WooCommerce WordPress 플러그인 5.46 이전 버전은 토큰화 작업을 참조하는 결제 알림 엔드포인트에서 암호화 서명을 검증하지 않습니다. 이로 인해 인증되지 않은 공격자가 기존 주문과 연결된 결제 토큰을 덮어쓰고 저장된 카드 정보를 삭제할 수 있습니다.
💡 쉬운 설명
결제 알림을 받는 기능이 발신자 확인을 제대로 하지 않아, 누구든 가짜 결제 알림을 보낼 수 있습니다. 그 결과 고객의 저장된 카드 정보가 바뀌거나 삭제될 수 있습니다.
🇺🇸 원문 (English)
The PAYCOMET for WooCommerce WordPress plugin before 5.46 does not verify the cryptographic signature on its payment notification endpoint when the request references a tokenisation operation, allowing unauthenticated attackers to overwrite the stored payment token associated with existing orders and delete saved card records.
📍 영향받는 시스템
PAYCOMET for WooCommerce WordPress 플러그인 5.46 미만 버전
⚔️ 공격 벡터
공격자가 서명 없이 조작된 결제 알림 요청을 엔드포인트에 전송하여 기존 주문의 결제 토큰을 덮어쓰거나 저장된 카드 레코드를 삭제
🛡️ 대응 방법
PAYCOMET for WooCommerce 플러그인을 5.46 이상 버전으로 즉시 업데이트
🔧 검증 코드
출력된 버전 번호가 5.46 미만이면 취약하며, 5.46 이상이면 패치된 것입니다.
wp plugin get paycomet-for-woocommerce --field=version 2>/dev/null || grep -i 'Version:' wp-content/plugins/paycomet-for-woocommerce/*.php 2>/dev/null | head -1