🇰🇷 한글 설명
Hubtel WordPress 플러그인 1.0.2 미만 버전에서 결제 알림의 출처를 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 실제 결제 없이 임의의 주문을 결제 완료 상태로 조작할 수 있습니다.
💡 쉬운 설명
결제 완료 신호를 보내는 사람이 진짜 결제 업체인지 확인하지 않는 문제입니다. 해커가 가짜 결제 완료 신호를 보내면 물건을 돈 안 내고 주문할 수 있습니다.
🇺🇸 원문 (English)
The Payments for Hubtel WordPress plugin before 1.0.2 does not verify that payment notifications received by its payment callback come from the payment provider, allowing unauthenticated attackers to mark arbitrary orders as paid without payment.
📍 영향받는 시스템
Payments for Hubtel WordPress plugin 1.0.2 미만 버전
⚔️ 공격 벡터
결제 콜백(Callback) URL로 조작된 결제 완료 요청을 전송
🛡️ 대응 방법
Payments for Hubtel WordPress 플러그인을 1.0.2 이상 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 hubtel 플러그인의 버전이 1.0.2 미만인지 확인
wp plugin list --all | grep -i 'hubtel'