🇰🇷 한글 설명
Ecwid by Lightspeed Ecommerce Shopping Cart WordPress 플러그인 7.0.9 미만 버전에서 권한 확인 및 논스(nonce) 검증이 누락된 취약점이 발견되었습니다. 이를 통해 구독자와 같은 인증된 사용자가 스토어를 연결 해제하여 상점 운영을 중단시킬 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 일반 사용자가 관리자 권한 없이도 쇼핑몰 서비스를 강제로 종료시킬 수 있는 문제입니다. 이로 인해 고객들이 쇼핑몰을 이용하지 못하는 서비스 중단 상태가 발생할 수 있습니다.
🇺🇸 원문 (English)
The Ecwid by Lightspeed Ecommerce Shopping Cart WordPress plugin before 7.0.9 does not perform a capability check or nonce verification on one of its store-management actions, allowing any authenticated user, such as a subscriber, to disconnect the store and take the storefront offline until an administrator reconnects it.
📍 영향받는 시스템
Ecwid by Lightspeed Ecommerce Shopping Cart WordPress plugin version < 7.0.9
⚔️ 공격 벡터
인증된 사용자(구독자 등)가 권한 검증이 없는 특정 스토어 관리 액션을 호출하여 공격
🛡️ 대응 방법
Ecwid by Lightspeed Ecommerce Shopping Cart 플러그인을 7.0.9 버전 이상으로 즉시 업데이트
🔧 검증 코드
출력된 플러그인 버전이 7.0.9 미만인지 확인하여 취약 여부를 판단합니다.
wp plugin list --status=active | grep -i 'ecwid' && wp plugin list --all | grep -E 'ecwid' | awk '{print $2 " " $3}'