🇰🇷 한글 설명
Verge3D WordPress 플러그인 4.1.0부터 4.13.0 버전에서 결제 여부를 확인하는 과정에 결함이 발견되었습니다. 공격자는 결제 제공업체를 통해 실제 결제가 이루어졌는지 검증하지 않고, 주문 소유권을 확인하지 않아 인증되지 않은 사용자가 임의의 주문을 결제 완료 상태로 변경할 수 있습니다.
💡 쉬운 설명
돈을 내지 않고도 주문 완료 버튼을 누르는 것과 같은 보안 허점이 있습니다. 해커가 실제 결제 없이도 물건을 샀다고 시스템을 속일 수 있는 문제입니다.
🇺🇸 원문 (English)
The Verge3D WordPress plugin from 4.1.0 through 4.13.0 does not verify with the payment provider that a payment was actually made, and does not check order ownership, allowing unauthenticated users to mark any order as paid.
📍 영향받는 시스템
Verge3D WordPress plugin versions 4.1.0 through 4.13.0
⚔️ 공격 벡터
인증되지 않은 사용자가 결제 검증 로직을 우회하여 주문 상태를 조작하는 방식
🛡️ 대응 방법
플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하거나 결제 검증 로직을 수정해야 합니다.
🔧 검증 코드
출력된 결과에서 verge3d 플러그인의 버전이 4.1.0에서 4.13.0 사이인지 확인합니다.
wp plugin list --allow-root | grep -E 'verge3d'