🇰🇷 한글 설명
Epos Now와 WooCommerce WordPress 플러그인 4.11.2 미만 버전에서 REST 엔드포인트에 대한 권한 확인이 누락되었습니다. 이를 통해 인증되지 않은 사용자가 사이트의 예약된 백그라운드 작업과 인자값을 조회할 수 있으며, 여기에는 주문 식별자 및 WooCommerce의 지연 이메일 기능 활성화 시 신규 고객의 평문 비밀번호가 포함될 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 웹사이트의 중요한 작업 목록을 몰래 훔쳐볼 수 있는 보안 결함입니다. 이 과정에서 고객의 주문 정보는 물론, 심지어 고객의 비밀번호까지 그대로 노출될 위험이 있습니다.
🇺🇸 원문 (English)
The Integration for Epos Now and WooCommerce WordPress plugin before 4.11.2 does not perform an authorization check on one of its REST endpoints, allowing unauthenticated users to retrieve the site's scheduled background tasks and their arguments, which include order identifiers and, when WooCommerce's deferred emails feature is enabled, the plaintext passwords of newly registered customers.
📍 영향받는 시스템
Integration for Epos Now and WooCommerce WordPress plugin version < 4.11.2
⚔️ 공격 벡터
인증되지 않은 사용자가 취약한 REST API 엔드포인트에 직접 요청을 보내 데이터를 탈취
🛡️ 대응 방법
해당 플러그인을 최신 버전인 4.11.2 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면, 워드프레스 관리자 페이지에서 플러그인 버전이 4.11.2 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'epos-now-woocommerce' && echo 'Check version manually via WP Dashboard'