🇰🇷 한글 설명
Sifalo Pay WordPress 플러그인 2.5.3 미만 버전에서 결제 반환 처리 시 주문 소유권 및 권한 검증이 누락되는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 임의의 결제 세션 메타데이터를 모든 주문에 작성하거나, 결제 대기 중인 주문을 강제로 실패 상태로 만들 수 있습니다.
💡 쉬운 설명
결제 완료 후 돌아오는 신호를 검증하지 않아, 누구나 가짜 결제 정보를 입력하거나 정상적인 주문을 취소시킬 수 있는 문제입니다. 쇼핑몰 운영자가 원치 않는 결제 오류를 일으켜 금전적 손실을 입힐 수 있습니다.
🇺🇸 원문 (English)
The Sifalo Pay WordPress plugin before 2.5.3 does not verify ownership of, or authorisation for, the order being updated when it handles a payment return, allowing unauthenticated attackers to write arbitrary payment session metadata onto any order in the store and to force any order awaiting payment into a failed state.
📍 영향받는 시스템
Sifalo Pay WordPress plugin version < 2.5.3
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 결제 반환 요청을 전송하여 주문 데이터를 변조함
🛡️ 대응 방법
Sifalo Pay WordPress 플러그인을 최신 버전인 2.5.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 sifalo-pay 플러그인의 버전이 2.5.3 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'sifalo-pay'