🇰🇷 한글 설명
Paymentfor Gateway for WooCommerce WordPress 플러그인 1.0.6 미만 버전에서 결제 알림의 진위 여부를 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 실제 결제 없이도 주문 상태를 결제 완료로 조작할 수 있습니다.
💡 쉬운 설명
결제 완료 신호가 진짜인지 확인하지 않는 허점이 있어, 돈을 내지 않고도 물건을 샀다고 속일 수 있는 문제입니다. 공격자가 가짜 결제 신호를 보내면 시스템이 이를 실제 결제로 착각하게 됩니다.
🇺🇸 원문 (English)
The Paymentfor Gateway for WooCommerce WordPress plugin before 1.0.6 does not verify the authenticity of an inbound payment notification before marking an order as paid, allowing unauthenticated attackers to mark orders as paid without any payment being completed.
📍 영향받는 시스템
Paymentfor Gateway for WooCommerce WordPress plugin 1.0.6 미만 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 결제 알림(Inbound Payment Notification)을 서버로 전송
🛡️ 대응 방법
해당 플러그인을 최신 버전인 1.0.6 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 버전이 1.0.6 미만인지 확인하십시오.
wp plugin list --status=active | grep -E 'paymentfor-gateway-for-woocommerce'