🇰🇷 한글 설명
Gutenberg Essential Blocks WordPress 플러그인 6.4.0 미만 버전에서 공개 REST API 경로에 대한 접근 제한이 미흡하여 발생합니다. 이를 통해 인증되지 않은 사용자가 WooCommerce의 비공개 제품별 판매 지표를 탈취하여 게시된 모든 제품의 누적 판매량을 조회할 수 있습니다.
💡 쉬운 설명
인터넷에 공개되지 않아야 할 쇼핑몰의 제품 판매 데이터가 외부로 유출되는 보안 취약점입니다. 해커가 로그인 없이도 특정 제품이 지금까지 총 몇 개 팔렸는지 몰래 확인할 수 있습니다.
🇺🇸 원문 (English)
The Gutenberg Essential Blocks WordPress plugin before 6.4.0 does not restrict access to one of its public REST routes and over-fetches a non-public WooCommerce per-product sales metric into the response, allowing unauthenticated users to read the lifetime number of units sold for any published product.
📍 영향받는 시스템
Gutenberg Essential Blocks WordPress plugin version < 6.4.0
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 REST API 요청을 통해 비공개 판매 데이터를 조회
🛡️ 대응 방법
Gutenberg Essential Blocks 플러그인을 6.4.0 이상 버전으로 즉시 업데이트
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전이 6.4.0 미만인지 확인
wp plugin list --status=active | grep -E 'gutenberg-essential-blocks'