🇰🇷 한글 설명
WordPress용 MotoPress Hotel Booking 플러그인 6.2.4 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. Stripe 웹훅 이벤트 객체의 'id' 필드에 대한 입력값 검증 및 출력 이스케이프가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 공격자는 위조된 웹훅을 통해 결제 로그에 스크립트를 저장하고, 관리자가 이를 조회할 때 스크립트가 실행되도록 유도할 수 있습니다.
💡 쉬운 설명
해커가 가짜 결제 정보를 보내 웹사이트 관리자의 화면에 악성 코드를 몰래 심어두는 취약점입니다. 관리자가 결제 내역을 확인하는 순간 해커가 의도한 명령이 실행될 수 있습니다.
🇺🇸 원문 (English)
The MotoPress Hotel Booking plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Stripe Webhook event object 'id' in all versions up to, and including, 6.2.4 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The premium Stripe webhook listener only verifies the webhook signature when an optional Stripe signing secret has been configured; because that secret is empty by default, a forged webhook is accepted without cryptographic verification, and the attacker-controlled event object 'id' (e.g. a forged 'refund.created' refund id) is written unescaped into the payment log and later echoed unsanitized when an administrator views the payment. An attacker must know a valid Stripe PaymentIntent ID for an existing payment to route the forged webhook to a payment record. Note: The vulnerable webhook handler (webhook-listener.php) is part of the premium Stripe gateway integration and is not present in the lite plugin directory.
📍 영향받는 시스템
MotoPress Hotel Booking plugin (Premium Stripe gateway integration 포함) 6.2.4 이하 모든 버전
⚔️ 공격 벡터
Stripe 서명 검증이 비활성화된 상태를 이용해 위조된 웹훅을 전송하고, 'id' 필드에 악성 스크립트를 삽입하여 결제 로그에 저장함
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하고, Stripe 웹훅 설정 시 반드시 Signing Secret을 구성하여 서명 검증을 활성화해야 함
🔧 검증 코드
출력된 결과에서 motopress-hotel-booking의 버전이 6.2.4 이하인지 확인하십시오.
wp plugin list --allow-root | grep -E 'motopress-hotel-booking'