🇰🇷 한글 설명
Premium Packages WordPress 플러그인 7.2.1 미만 버전에서 PayPal 웹훅 서명을 검증하지 않는 취약점이 발견되었습니다. 공격자는 트랜잭션 ID를 알고 있다면 인증 없이 결제 확인 및 구독 취소 이벤트를 위조하여 주문 상태를 조작할 수 있습니다.
💡 쉬운 설명
결제 완료 신호를 보내는 과정에서 본인 확인 절차가 빠져 있는 상태입니다. 해커가 가짜 결제 완료 신호를 보내면 실제 돈을 내지 않고도 물건을 사거나 구독을 조작할 수 있습니다.
🇺🇸 원문 (English)
The Premium Packages WordPress plugin before 7.2.1 does not verify PayPal's webhook signature before processing payment and subscription notifications, allowing unauthenticated attackers to forge payment confirmations and subscription-cancellation events against any order whose transaction id they know.
📍 영향받는 시스템
Premium Packages WordPress plugin version < 7.2.1
⚔️ 공격 벡터
알고 있는 트랜잭션 ID를 이용해 위조된 PayPal 웹훅 요청을 서버로 전송
🛡️ 대응 방법
Premium Packages WordPress 플러그인을 7.2.1 이상 버전으로 즉시 업데이트
🔧 검증 코드
출력된 플러그인 목록에서 premium-packages의 버전을 확인하여 7.2.1 미만인지 체크
wp plugin list --status=active | grep -i 'premium-packages'