🇰🇷 한글 설명
Deema Payment Gateway WordPress 플러그인 1.1.2 이하 버전에서 결제 제공업체의 알림 인증을 검증하지 않는 취약점이 발견되었습니다. 이 취약점은 기본적으로 검증 기능이 비활성화되어 있어, 인증되지 않은 공격자가 미결제 주문을 결제 완료로 조작하거나 기존 주문을 취소 또는 환불할 수 있습니다.
💡 쉬운 설명
결제 완료 신호가 진짜인지 확인하는 절차가 빠져 있어 발생하는 문제입니다. 해커가 가짜 결제 완료 신호를 보내 물건을 공짜로 가져가거나 남의 주문을 취소할 수 있습니다.
🇺🇸 원문 (English)
The Deema Payment Gateway WordPress plugin through 1.1.2 does not verify the authenticity of incoming payment provider notifications, and ships with that verification disabled by default, allowing unauthenticated attackers to mark an unpaid order as paid, or to cancel or refund an existing order.
📍 영향받는 시스템
Deema Payment Gateway WordPress plugin 1.1.2 이하 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 결제 알림(Webhook)을 플러그인에 전송
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나 결제 알림 검증 설정을 활성화해야 합니다.
🔧 검증 코드
출력된 결과에서 플러그인 이름과 현재 설치된 버전을 확인하여 1.1.2 이하인지 체크합니다.
wp plugin list --allow-root | grep -i 'deema-payment-gateway'