🇰🇷 한글 설명
1.8.9 미만 버전의 WooCommerce Robokassa 결제 게이트웨이 플러그인에서 비기본 지연 결제 기능이 활성화된 경우, 수신되는 결제 알림의 인증을 검증하지 않는 취약점이 존재합니다. 이를 통해 인증되지 않은 공격자가 결제 알림을 위조하여 실제 결제 없이도 임의의 주문 상태를 '결제 완료' 또는 '보류 중'으로 변경할 수 있습니다.
💡 쉬운 설명
결제 완료 메시지가 진짜인지 확인하는 절차가 빠져 있어, 가짜 결제 신호를 보내 물건을 공짜로 주문할 수 있는 문제입니다. 공격자가 결제하지 않고도 주문을 성공한 것처럼 속일 수 있습니다.
🇺🇸 원문 (English)
The Robokassa payment gateway for Woocommerce WordPress plugin before 1.8.9 does not verify the authenticity of incoming payment notifications when its non-default deferred-payment feature is enabled, allowing unauthenticated attackers to forge a notification and mark arbitrary WooCommerce orders as paid or on-hold without payment or a valid signature.
📍 영향받는 시스템
WooCommerce Robokassa payment gateway plugin version < 1.8.9 (non-default deferred-payment enabled)
⚔️ 공격 벡터
인증되지 않은 공격자가 위조된 결제 알림(Notification)을 서버로 전송
🛡️ 대응 방법
Robokassa 플러그인을 최신 버전인 1.8.9 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 Robokassa의 버전을 확인하여 1.8.9 미만인지 체크하십시오.
wp plugin list --status=active | grep -i 'robokassa'