🇰🇷 한글 설명
WordPress용 Eyewear prescription form 플러그인 6.0.1 이하 버전에서 권한 검증 누락 취약점이 발견되었습니다. 공격자는 'catIds' 파라미터를 악용하여 인증 없이 임의의 WooCommerce 제품 카테고리와 그 하위 카테고리를 삭제할 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인도 웹사이트의 상품 카테고리를 마음대로 삭제할 수 있는 보안 결함입니다. 이로 인해 쇼핑몰의 상품 분류 체계가 파괴될 위험이 있습니다.
🇺🇸 원문 (English)
The Eyewear prescription form plugin for WordPress is vulnerable to Missing Authorization in all versions up to, and including, 6.0.1. This is due to missing capability checks on the RemoveItems AJAX action. This makes it possible for unauthenticated attackers to delete arbitrary WooCommerce product categories, including all of their child categories, via the 'catIds' parameter.
📍 영향받는 시스템
Eyewear prescription form plugin for WordPress (6.0.1 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 AJAX 요청의 'catIds' 파라미터를 조작하여 카테고리 삭제 명령을 전송
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, 권한 검증이 포함된 보안 패치를 적용하십시오.
🔧 검증 코드
출력된 버전 번호가 6.0.1과 같거나 그보다 낮은지 확인하십시오.
wp plugin list --name eyewear-prescription-form --format=json | grep -oP '(?<=version":")[^"]+'