🇰🇷 한글 설명
WooCommerce용 Live sales notification 플러그인의 모든 버전(2.3.39 포함)에서 권한 검증 누락 취약점이 발견되었습니다. getOrders 함수가 적절한 권한 확인을 수행하지 않아, 인증되지 않은 공격자가 고객의 이름, 도시, 국가, 구매 시간 및 제품 상세 정보와 같은 민감한 정보를 추출할 수 있습니다.
💡 쉬운 설명
쇼핑몰 알림 플러그인의 보안 구멍을 통해 누구나 고객의 구매 정보를 몰래 훔쳐볼 수 있는 문제입니다. 로그인하지 않은 외부인도 고객의 이름이나 구매 내역을 볼 수 있어 개인정보 유출 위험이 큽니다.
🇺🇸 원문 (English)
The Live sales notification for WooCommerce plugin for WordPress is vulnerable to Missing Authorization in all versions up to, and including, 2.3.39. This is due to the "getOrders" function lacking proper authorization and capability checks when the plugin is configured to display recent order information. This makes it possible for unauthenticated attackers to extract sensitive customer information including buyer first names, city, state, country, purchase time and date, and product details.
📍 영향받는 시스템
WooCommerce Live sales notification plugin (버전 2.3.39 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 권한 검증이 없는 getOrders 함수를 호출하여 민감한 데이터를 탈취
🛡️ 대응 방법
플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 설치된 버전이 2.3.39 이하인지 확인해야 합니다.
wp plugin list --status=active | grep -i 'live-sales-notification'