🇰🇷 한글 설명
WordPress용 WPC Smart Wishlist for WooCommerce 플러그인에서 권한 확인 누락으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 5.0.4 버전 이하의 모든 버전에서 발생하며, 구독자 이상의 권한을 가진 인증된 공격자가 다른 사용자의 위시리스트 데이터를 조회할 수 있습니다.
💡 쉬운 설명
로그인한 일반 사용자가 다른 사람의 장바구니 목록이나 위시리스트 정보를 몰래 훔쳐볼 수 있는 보안 결함입니다. 개인적인 관심 상품 목록이 타인에게 노출될 위험이 있습니다.
🇺🇸 원문 (English)
The WPC Smart Wishlist for WooCommerce plugin for WordPress is vulnerable to unauthorized access of data due to a missing capability check on the 'wishlist_quickview' AJAX action in all versions up to, and including, 5.0.4. This makes it possible for authenticated attackers, with Subscriber-level access and above, to view other user's wishlist data and information.
📍 영향받는 시스템
WPC Smart Wishlist for WooCommerce plugin (버전 5.0.4 이하)
⚔️ 공격 벡터
인증된 사용자(Subscriber 권한 이상)가 조작된 AJAX 요청을 통해 타인의 데이터를 조회
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하여 권한 검증 로직이 적용된 패치를 적용하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 설치된 버전이 5.0.4 이하인지 확인해야 합니다.
wp plugin list --status=active | grep -i 'wpc-smart-wishlist'