Patch Ticker

IVPAY payments 워드프레스 플러그인 SQL 주입 취약점

워드프레스 결제 플러그인에서 로그인 없이 데이터베이스가 엿보일 수 있습니다!

요약

IVPAY payments 워드프레스 플러그인은 결제 콜백의 값을 검사하지 않고 SQL 문에 넣으며, 비어 있는 API 키를 정상 인증으로 받아들입니다. 인증하지 않은 공격자가 사이트 데이터베이스의 임의 데이터를 읽을 수 있습니다.

해당 조건

  • API 키를 비워 둔 상태(플러그인 기본값)

대처법

아직 알려진 수정 버전은 없습니다. 플러그인이 1.0.8보다 새로운 버전인지 확인하고 공급사 공지를 살펴보세요.

대상 제품과 운영체제

  • IVPAY payments

CVE 번호

원문 링크

시각

처음 게시

처음 확인