🇰🇷 한글 설명
WordPress용 WooCommerce: OrderConvo 플러그인에서 권한 확인 절차 누락으로 인해 데이터 무단 접근 취약점이 발견되었습니다. 공격자는 임의의 주문 ID를 입력하여 인증 없이도 민감한 WooCommerce 주문 상세 정보와 고객 및 관리자 간의 비공개 대화 내용을 조회할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 주문 번호만 알면 다른 사람의 주문 내역과 관리자와 나눈 비밀 메시지를 몰래 볼 수 있는 보안 결함입니다. 개인정보와 대화 내용이 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The Admin and Customer Messages After Order for WooCommerce: OrderConvo plugin for WordPress is vulnerable to unauthorized access of data due to a missing capability check on the `get_order_by_id()` function in all versions up to, and including, 14. This makes it possible for unauthenticated attackers to view sensitive WooCommerce order details and private conversation messages between customers and store administrators for any order by supplying an arbitrary order ID.
📍 영향받는 시스템
WooCommerce: OrderConvo plugin (버전 14 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 임의의 주문 ID를 전달하여 get_order_by_id() 함수를 호출하는 방식
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 OrderConvo 플러그인의 버전이 14 이하인지 확인하십시오.
wp plugin list --status=active | grep -i 'orderconvo'