🇰🇷 한글 설명
elegro Crypto Payment WordPress 플러그인 1.0.1 이하 버전에서 결제 알림 요청 시 공유 비밀키(shared secret) 설정을 요구하지 않는 취약점이 발견되었습니다. 공격자는 이 취약점을 악용하여 인증 없이 가짜 결제 확인 요청을 보낼 수 있으며, 기본값이 빈 값으로 설정된 경우 임의의 주문 상태를 변경할 수 있습니다.
💡 쉬운 설명
결제가 완료되었다는 가짜 신호를 보내서 돈을 내지 않고도 주문을 완료된 것처럼 속일 수 있는 문제입니다. 보안 설정인 비밀번호가 비어있을 때 누구나 가짜 결제 정보를 보낼 수 있어 위험합니다.
🇺🇸 원문 (English)
The elegro Crypto Payment WordPress plugin through 1.0.1 does not require a shared secret to be configured before trusting incoming payment notification requests, allowing unauthenticated attackers to forge payment confirmations and change the status of arbitrary orders on any installation where that secret has been left at its default empty value.
📍 영향받는 시스템
elegro Crypto Payment WordPress plugin version 1.0.1 and below
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 결제 알림 HTTP 요청을 플러그인 엔드포인트로 전송
🛡️ 대응 방법
플러그인 설정에서 공유 비밀키(shared secret)를 강력한 값으로 반드시 설정하고 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 설정 메뉴에서 shared secret이 비어있는지 확인해야 합니다.
wp plugin list --status=active | grep -i 'elegro-crypto-payment'