🇰🇷 한글 설명
Snap Finance WordPress 플러그인 3.11.0 이하 버전에서 결제 제공업체의 응답이 실제 완료된 승인 거래인지 확인하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 실제 결제를 완료하지 않고도 임의의 WooCommerce 주문을 결제 완료 상태로 변경할 수 있습니다.
💡 쉬운 설명
결제 승인 여부를 제대로 확인하지 않아, 돈을 내지 않고도 물건을 산 것처럼 속일 수 있는 보안 결함입니다. 해커가 가짜 결제 신호를 보내 쇼핑몰의 주문 상태를 강제로 '결제 완료'로 바꿀 수 있습니다.
🇺🇸 원문 (English)
The Snap Finance WordPress plugin through 3.11.0 does not verify that the payment provider's response actually confirms a completed, approved transaction before marking a WooCommerce order as paid, allowing unauthenticated attackers to mark arbitrary orders as paid without completing payment.
📍 영향받는 시스템
Snap Finance WordPress plugin 3.11.0 및 그 이전 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 결제 응답을 전송하여 WooCommerce 주문 상태를 변경
🛡️ 대응 방법
Snap Finance WordPress 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트
🔧 검증 코드
출력된 플러그인 버전이 3.11.0 이하인지 확인하여 취약 여부를 판단합니다.
wp plugin list --name=snap-finance | grep -E 'snap-finance'