🇰🇷 한글 설명
Eupago Gateway For Woocommerce WordPress 플러그인 4.5.0부터 4.7.5 버전은 일부 설정에서 수신되는 결제 확인 웹훅 요청의 진위를 검증하지 않습니다. 이로 인해 인증되지 않은 공격자가 결제 확인을 위조하여 결제하지 않은 대기 주문을 결제 완료로 표시할 수 있습니다.
💡 쉬운 설명
결제 업체가 보내는 결제 완료 알림이 진짜인지 확인하지 않는 문제가 있습니다. 공격자는 가짜 알림을 보내 돈을 내지 않고도 주문을 결제 완료 상태로 만들 수 있습니다.
🇺🇸 원문 (English)
The Eupago Gateway For Woocommerce WordPress plugin from 4.5.0 through 4.7.5 does not verify the authenticity of incoming payment-confirmation webhook requests in some configurations, allowing unauthenticated attackers to forge a payment confirmation and mark a pending order as paid without paying for it.
📍 영향받는 시스템
Eupago Gateway For Woocommerce WordPress 플러그인 4.5.0 ~ 4.7.5 (일부 설정 환경)
⚔️ 공격 벡터
인증되지 않은 공격자가 결제 확인 웹훅 엔드포인트에 위조된 요청을 전송하여 대기 중인 주문을 결제 완료로 변경
🛡️ 대응 방법
Eupago Gateway 플러그인을 4.7.6 이상 버전으로 업데이트하고 웹훅 서명 또는 출처 검증 설정을 활성화
🔧 검증 코드
출력된 version 값이 4.5.0 이상 4.7.5 이하이면 취약하므로 4.7.6 이상으로 업데이트가 필요하며, 플러그인이 없거나 4.7.6 이상이면 해당 사항 없음
wp plugin list --name=eupago-gateway-for-woocommerce --fields=name,version,status 2>/dev/null