🇰🇷 한글 설명
PDF Invoices & Packing Slips for WooCommerce 플러그인 5.16.2 이상 5.16.5 미만 버전은 고객이 입력한 청구지/배송지 주소 및 주문 메모를 청구서와 포장 명세서 생성 시 적절히 이스케이프하지 않습니다. 이로 인해 비회원 주문자가 악성 스크립트를 저장할 수 있으며, 관리자가 해당 문서를 열람할 때 스크립트가 실행되어 저장형 XSS가 발생합니다.
💡 쉬운 설명
쇼핑몰에서 비회원이 주문할 때 주소나 메모에 악성 코드를 넣을 수 있습니다. 관리자가 송장을 열면 그 코드가 실행되어 관리자 계정이 탈취될 수 있습니다.
🇺🇸 원문 (English)
The PDF Invoices & Packing Slips for WooCommerce WordPress plugin from 5.16.2 before 5.16.5 does not properly escape several customer-supplied order fields — including the billing and shipping address values and the customer order note — before they are output in generated invoice and packing-slip documents, allowing unauthenticated users placing guest orders to store a malicious script that executes when a shop administrator views the document, leading to Stored Cross-Site Scripting.
📍 영향받는 시스템
WordPress용 PDF Invoices & Packing Slips for WooCommerce 플러그인 5.16.2 이상 5.16.5 미만
⚔️ 공격 벡터
비인증 사용자가 게스트 주문 시 주소·메모 필드에 스크립트를 삽입하고, 관리자가 생성된 송장/포장명세서를 열람할 때 실행됨
🛡️ 대응 방법
플러그인을 5.16.5 이상 버전으로 즉시 업데이트
🔧 검증 코드
출력된 버전이 5.16.5 이상이면 취약점이 수정된 것이고, 5.16.2~5.16.4이면 즉시 업데이트가 필요합니다.
wp plugin get pdf-invoices-packing-slips-for-woocommerce --field=version 2>/dev/null || grep -m1 'Version:' wp-content/plugins/pdf-invoices-packing-slips-for-woocommerce/*.php