🇰🇷 한글 설명
Kliken: Ads + Pixel for Meta WordPress 플러그인 1.2.3 미만 버전에서 주문 키 검증 미흡으로 인해 발생합니다. 인증되지 않은 사용자가 주문 ID를 열거함으로써 다른 고객의 결제 위치, 구매 제품 및 총액 정보를 탈취할 수 있습니다.
💡 쉬운 설명
주문 번호만 알면 다른 사람이 무엇을 어디서 얼마에 샀는지 몰래 볼 수 있는 보안 결함입니다. 누구나 주문 번호를 하나씩 대입해 보며 고객 정보를 훔쳐낼 수 있습니다.
🇺🇸 원문 (English)
The Kliken: Ads + Pixel for Meta WordPress plugin before 1.2.3 does not verify that a visitor holds an order's key before outputting that order's details on the order confirmation page, allowing unauthenticated users to retrieve the billing location, purchased products and totals of other customers' orders by enumerating order IDs.
📍 영향받는 시스템
Kliken: Ads + Pixel for Meta WordPress plugin version < 1.2.3
⚔️ 공격 벡터
인증되지 않은 공격자가 주문 ID를 순차적으로 대입(Enumeration)하여 데이터 탈취
🛡️ 대응 방법
Kliken: Ads + Pixel for Meta WordPress 플러그인을 1.2.3 이상 버전으로 업데이트
🔧 검증 코드
출력된 플러그인 목록에서 Kliken 관련 플러그인의 버전이 1.2.3 미만인지 확인
wp plugin list --all | grep -i 'kliken'