🇰🇷 한글 설명
Dokan: AI Powered WooCommerce Multivendor Marketplace Solution 워드프레스 플러그인 5.3.3 이전 버전은 스토어 연락처 폼을 중계할 때 사이트 소유의 신뢰할 수 있는 발신 주소를 사용하지 않습니다. 대신 인증되지 않은 제출자가 입력한 주소를 메일의 From 헤더에 직접 넣어, 공격자가 사이트 도메인(예: 관리자) 주소로 위조된 발신자를 지정해 판매자들에게 메일을 보내게 할 수 있습니다. 해당 도메인의 SPF/DKIM과 맞물려 스푸핑 메일이 정상 메일처럼 보일 수 있습니다.
💡 쉬운 설명
누구나 쇼핑몰 문의 폼을 이용해 사이트 관리자 이름으로 위장한 메일을 판매자들에게 보낼 수 있습니다. 이 때문에 피싱이나 사기 메일에 악용될 수 있습니다.
🇺🇸 원문 (English)
The Dokan: AI Powered WooCommerce Multivendor Marketplace Solution WordPress plugin before 5.3.3 does not use a trusted site-owned sender address when relaying its store contact form, instead placing the unauthenticated submitter's supplied address directly in the message's From header rather than a Reply-To, allowing unauthenticated attackers to make the site email its own vendors with the sender spoofed to an address at the site's own domain (such as its administrator), aligned with the domain's own SPF/DKIM.
📍 영향받는 시스템
Dokan 워드프레스 플러그인 5.3.3 미만 버전
⚔️ 공격 벡터
인증 없이 연락처 폼에 사이트 도메인 주소를 발신자로 넣어 제출해 판매자들에게 위조 메일을 발송
🛡️ 대응 방법
Dokan 플러그인을 5.3.3 이상으로 업데이트하고, 업데이트 전까지는 연락처 폼 기능을 비활성화합니다.
🔧 검증 코드
출력된 버전 숫자가 5.3.3보다 작으면 취약하므로 업데이트가 필요하고, 5.3.3 이상이면 패치된 것입니다. 아무것도 출력되지 않으면 해당 플러그인이 이 시스템에 설치되어 있지 않은 것입니다.
wp plugin list --name=dokan-lite --field=version 2>/dev/null || find /var/www -path '*/dokan*' -name 'dokan*.php' -maxdepth 6 2>/dev/null | head -n 5 | xargs grep -h 'Version:' 2>/dev/null | head -n 1