🇰🇷 한글 설명
WordPress 플러그인인 'The Call Now Button'의 1.5.4 이하 버전에서 권한 확인 절차 누락으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 결제 포털에 접근하여 결제 정보 수정, 채팅 세션 토큰 생성, 도메인 상태 확인 등을 수행할 수 있습니다.
💡 쉬운 설명
웹사이트의 전화 걸기 버튼 플러그인에 보안 구멍이 있어, 일반 회원이라도 관리자처럼 결제 정보를 보거나 수정할 수 있는 문제입니다. 공격자가 사용자의 결제 정보나 중요한 설정값을 마음대로 조작할 위험이 있습니다.
🇺🇸 원문 (English)
The Call Now Button – The #1 Click to Call Button for WordPress plugin for WordPress is vulnerable to unauthorized access of data due to a missing capability check on multiple functions in all versions up to, and including, 1.5.4. This makes it possible for authenticated attackers, with Subscriber-level access and above, to generate links to billing portal, where they can view and modify billing information of the connected, account, generate chat session tokens, view domain status, etc.
This vulnerability was partially fixed in version 1.5.4 and fully fixed in version 1.5.5
📍 영향받는 시스템
The Call Now Button WordPress plugin (버전 1.5.4 및 그 이하 모든 버전)
⚔️ 공격 벡터
권한이 낮은 인증된 사용자(Subscriber 이상)가 특정 함수를 호출하여 결제 포털 링크를 생성하는 방식
🛡️ 대응 방법
해당 플러그인을 최신 버전인 1.5.5 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 1.5.5 미만(예: 1.5.4 이하)이라면 취약한 상태입니다.
wp plugin list --status=active | grep -i 'call-now-button' && wp plugin list --all | grep -E 'call-now-button' | awk '{print $2, $3}'