🇰🇷 한글 설명
FraudLabs Pro SMS Verification WordPress 플러그인 1.11.2부터 1.12.1 버전은 WooCommerce 주문의 SMS 인증 완료 상태를 표시하기 전에 권한 및 유효성 검사를 수행하지 않습니다. 이로 인해 인증되지 않은 사용자가 주문의 인증 상태를 위조하여 플러그인의 SMS 인증 통제를 우회할 수 있습니다.
💡 쉬운 설명
문자 메시지로 본인 확인을 하는 쇼핑몰 기능에 허점이 있어, 로그인하지 않은 사람도 인증을 끝낸 것처럼 속일 수 있습니다. 그래서 본인 확인 없이 주문이 처리될 수 있습니다.
🇺🇸 원문 (English)
The FraudLabs Pro SMS Verification WordPress plugin from 1.11.2 to 1.12.1 does not perform authorisation or validity checks before marking a WooCommerce order's SMS verification as completed, allowing unauthenticated users to forge the verified state of an order and bypass the plugin's SMS verification control.
📍 영향받는 시스템
FraudLabs Pro SMS Verification 플러그인 1.11.2 ~ 1.12.1을 사용하는 WordPress/WooCommerce 사이트
⚔️ 공격 벡터
인증되지 않은 공격자가 요청을 조작해 특정 주문의 SMS 인증 상태를 완료로 위조하여 인증 절차를 건너뜀
🛡️ 대응 방법
FraudLabs Pro SMS Verification 플러그인을 1.12.2 이상(패치된 버전)으로 업데이트
🔧 검증 코드
출력된 version 값이 1.11.2 이상 1.12.1 이하이면 취약하므로 1.12.2 이상으로 업데이트가 필요하고, 해당 플러그인이 없거나 1.12.2 이상이면 영향 없음
wp plugin list --name=fraudlabs-pro-sms-verification --fields=name,version,status 2>/dev/null || grep -rh "Version:" $(find /var/www -path '*fraudlabs*' -name '*.php' 2>/dev/null | head -1) 2>/dev/null | head -1