🇰🇷 한글 설명
WordPress용 WooCommerce Multivendor Marketplace – REST API 플러그인 1.5.3 이하 버전에서 권한 확인 미흡으로 인한 취약점이 발견되었습니다. 이로 인해 구독자 이상의 권한을 가진 인증된 공격자가 주문 상세 정보 및 메모를 조회하거나 새로운 주문 메모를 추가할 수 있습니다.
💡 쉬운 설명
로그인한 일반 사용자가 관리자만 볼 수 있는 주문 내역을 몰래 훔쳐보거나 가짜 메모를 남길 수 있는 보안 결함입니다. 개인정보 유출이나 주문 정보 조작의 위험이 있습니다.
🇺🇸 원문 (English)
The WooCommerce Multivendor Marketplace – REST API plugin for WordPress is vulnerable to unauthorized access of data and addition of data due to a missing capability check on the 'get_item', 'get_order_notes' and 'add_order_note' functions in versions up to, and including, 1.5.3. This makes it possible for authenticated attackers with subscriber privileges or above, to view the order details and order notes, and add order notes.
📍 영향받는 시스템
WooCommerce Multivendor Marketplace – REST API plugin versions up to and including 1.5.3
⚔️ 공격 벡터
인증된 사용자(구독자 권한 이상)가 취약한 REST API 엔드포인트를 호출하여 권한 검증을 우회함
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전이 1.5.3 이하인지 확인하십시오.
wp plugin list --status=active | grep 'woocommerce-multivendor-marketplace'