Petpooja Munshi 구독 결제 웹훅 인증 누락으로 결제 우회 가능
결제 확인 문이 잠기지 않아 돈을 내지 않고 유료 기능을 쓸 수 있습니다.
요약
Munshi(Petpooja)의 구독 결제 웹훅에 인증과 서명 검증이 없어, 인증하지 않은 원격 공격자가 위조된 결제 성공 알림을 보낼 수 있습니다. 실제 결제 없이 유료 구독이 활성화될 수 있으며, 2026-06-30 이전 버전이 해당합니다.
대처법
고정 버전은 출처에 나와 있지 않습니다. 실행 중인 Munshi가 2026-06-30보다 새로운 버전인지 확인하고, 공급사 Petpooja의 공지를 읽어 보세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- 분석 글: medium.com (새 탭에서 열림) · vulncheck.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인