🇰🇷 한글 설명
InPost PL WordPress 플러그인 1.9.8 미만 버전에서 수신되는 배송 웹훅 요청의 인증을 검증하지 않는 취약점이 발견되었습니다. 공격자가 대상 주문의 운송장 번호를 알고 있다면, IP 체크를 우회하여 배송 상태를 위조하고 주문을 조기에 완료 처리할 수 있습니다.
💡 쉬운 설명
배송 상태를 알려주는 신호를 가짜로 만들어 보낼 수 있는 보안 약점이 있습니다. 이를 통해 물건이 아직 도착하지 않았는데도 배송이 완료된 것처럼 속일 수 있습니다.
🇺🇸 원문 (English)
The InPost PL WordPress plugin before 1.9.8 does not verify the authenticity of incoming shipment webhook requests, relying only on a non-secret identifier and an IP check that is not enforced, allowing unauthenticated attackers who know a target order's parcel tracking number to forge its shipment status and prematurely mark the order completed.
📍 영향받는 시스템
InPost PL WordPress plugin version < 1.9.8
⚔️ 공격 벡터
운송장 번호를 이용한 인증되지 않은 배송 상태 웹훅 요청 위조
🛡️ 대응 방법
InPost PL WordPress 플러그인을 1.9.8 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 1.9.8 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'inpost-pl' && wp plugin list --all | grep -E 'inpost-pl' | awk '{print $2 " " $3}'