🇰🇷 한글 설명
Fraud Prevention For WooCommerce and EDD WordPress 플러그인 2.3.6 이전 버전은 사용자가 주문을 관리할 권한이 있는지 확인하지 않은 상태에서 주문의 고객 정보를 상점의 사기 방지 블랙리스트에 추가하도록 허용합니다. 이로 인해 Subscriber 이상 권한을 가진 사용자가 임의의 정상 고객의 주문을 차단할 수 있습니다.
💡 쉬운 설명
쇼핑몰의 사기 방지 기능에 권한 확인이 빠져 있어, 회원 등급이 낮은 사용자도 다른 정상 고객을 블랙리스트에 올릴 수 있습니다. 그러면 그 고객은 정상적인 주문을 할 수 없게 됩니다.
🇺🇸 원문 (English)
The Fraud Prevention For WooCommerce and EDD WordPress plugin before 2.3.6 does not check that a user is allowed to manage orders before letting them add an order's customer details to the store's fraud blacklist, which could allow users with the Subscriber role and above to prevent arbitrary legitimate customers from placing orders.
📍 영향받는 시스템
WordPress 플러그인 Fraud Prevention For WooCommerce and EDD 2.3.6 미만 버전 (WooCommerce 및 EDD 연동 쇼핑몰)
⚔️ 공격 벡터
Subscriber 이상 권한의 인증된 사용자가 주문 고객 정보를 블랙리스트 추가 기능에 전달해 임의의 정상 고객을 차단
🛡️ 대응 방법
플러그인을 2.3.6 이상 버전으로 업데이트하고, 업데이트 전까지 해당 기능을 비활성화하거나 블랙리스트 항목을 점검
🔧 검증 코드
출력된 버전이 2.3.6 미만이면 취약하며, 2.3.6 이상이면 패치가 적용된 것입니다. 명령 결과가 없으면 플러그인이 설치되지 않았거나 경로를 확인해야 합니다.
wp plugin get fraud-prevention-for-woocommerce --field=version 2>/dev/null || grep -h 'Version:' wp-content/plugins/*fraud*/*.php 2>/dev/null