🇰🇷 한글 설명
Rede Itaú for WooCommerce 플러그인 5.4.7 미만 버전에서 PIX 결제 웹훅의 인증을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 실제 결제 없이도 대기 중인 주문 상태를 결제 완료로 조작할 수 있습니다.
💡 쉬운 설명
결제가 완료되었다는 신호를 보내는 통로에 확인 절차가 없어, 가짜 신호를 보내 물건을 공짜로 주문할 수 있는 문제입니다. 공격자가 결제하지 않고도 주문을 완료된 상태로 속일 수 있습니다.
🇺🇸 원문 (English)
The Rede Itaú for WooCommerce — Payment PIX, Credit Card and Debit WordPress plugin before 5.4.7 does not verify the authenticity of its PIX payment webhook before updating an order's status, allowing unauthenticated attackers to mark a pending order as paid without paying.
📍 영향받는 시스템
Rede Itaú for WooCommerce — Payment PIX, Credit Card and Debit WordPress plugin version < 5.4.7
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 PIX 결제 웹훅 요청을 서버로 전송
🛡️ 대응 방법
해당 플러그인을 최신 버전인 5.4.7 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 5.4.7 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'rede-itau' && wp plugin list --all | grep -E 'rede-itau' | awk '{print $2 " " $3}'