🇰🇷 한글 설명
WooCommerce용 ERP 플러그인인 'ERP: Complete HR, Accounting & CRM Suite'의 1.17.11 이전 버전에는 레코드 변경 전후 값을 반환하는 AJAX 액션에 권한 검사가 없습니다. 이로 인해 구독자를 포함한 인증된 모든 사용자가 레코드 식별자를 순차적으로 열거하여 다른 사용자의 민감한 인사, CRM, 회계 데이터를 열람할 수 있습니다.
💡 쉬운 설명
로그인만 하면 누구나 이 플러그인이 관리하는 다른 사람의 인사, 고객, 회계 정보를 볼 수 있는 취약점입니다. 플러그인을 최신 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
The ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce WordPress plugin before 1.17.11 does not perform a capability check on an AJAX action that returns the stored before-and-after values of a record change, allowing any authenticated user, including Subscribers, to read other users' sensitive HR, CRM and Accounting data by enumerating record identifiers.
📍 영향받는 시스템
WordPress 플러그인 'ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce' 1.17.11 미만 버전
⚔️ 공격 벡터
구독자 등 낮은 권한의 인증된 계정으로 로그인한 뒤 AJAX 요청에서 레코드 ID를 변경해 가며 타인의 HR, CRM, 회계 데이터를 조회
🛡️ 대응 방법
플러그인을 1.17.11 이상으로 업데이트하고, 불필요한 구독자 계정을 점검하며, 민감 데이터 노출 여부를 감사
🔧 검증 코드
출력된 버전이 1.17.11 미만이면 취약한 상태이며, 1.17.11 이상이면 패치가 적용된 것입니다. 플러그인이 나타나지 않으면 설치되지 않은 것입니다.
wp plugin list --name=erp --fields=name,version,status 2>/dev/null || grep -rh "Version:" wp-content/plugins/*erp*/*.php 2>/dev/null | head -n 1