🇰🇷 한글 설명
Chikkili Google Pay India for WooCommerce WordPress 플러그인(1.0.6 이하)은 결제 알림이 실제 결제 제공자에서 왔는지 검증하지 않고 해당 주문을 결제 완료로 표시합니다. 이로 인해 인증되지 않은 공격자가 실제 결제 없이 임의의 주문을 결제 완료 상태로 변경할 수 있습니다.
💡 쉬운 설명
이 플러그인은 결제가 실제로 이루어졌는지 확인하지 않고 주문을 '결제 완료'로 처리합니다. 악의적인 사용자가 가짜 결제 알림을 보내면 돈을 내지 않고도 주문이 완료될 수 있습니다.
🇺🇸 원문 (English)
The Chikkili- Google Pay India for Woocommerce WordPress plugin through 1.0.6 does not verify that a payment notification actually originated from the payment provider before marking the associated order as paid, allowing unauthenticated attackers to mark arbitrary orders as paid without any payment being made.
📍 영향받는 시스템
WordPress WooCommerce용 Chikkili Google Pay India 플러그인 1.0.6 이하 버전
⚔️ 공격 벡터
인증 없이 조작된 결제 알림 요청을 전송하여 임의의 주문을 결제 완료 상태로 변경
🛡️ 대응 방법
플러그인을 패치된 최신 버전으로 업그레이드하거나, 결제 제공자의 서명/출처 검증 로직이 적용될 때까지 플러그인을 비활성화
🔧 검증 코드
출력된 버전이 1.0.6 이하이면 취약하며, 버전이 1.0.6보다 높거나 플러그인이 설치되어 있지 않으면 해당 취약점에 노출되지 않은 것입니다.
wp plugin list --name=chikkili --fields=name,version,status 2>/dev/null || grep -ri 'Version' wp-content/plugins/*google*pay*/*.php 2>/dev/null | head -5