🇰🇷 한글 설명
FluentCart A New Era of eCommerce WordPress 플러그인 1.4.0 미만 버전에서 결제 방식 엔드포인트의 권한 검증 미흡 취약점이 발견되었습니다. 인증된 사용자가 타인의 구독 식별자만 알면 다른 고객의 구독 결제 수단을 변경하거나 구독을 취소 및 재연결할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 다른 사람의 구독 정보를 마음대로 조작할 수 있는 보안 결함입니다. 공격자가 타인의 구독 번호를 알면 결제 수단을 바꾸거나 구독을 취소할 수 있습니다.
🇺🇸 원문 (English)
The FluentCart A New Era of eCommerce WordPress plugin before 1.4.0 does not verify that a subscription belongs to the requesting customer in several of its payment-method endpoints, allowing any authenticated customer to act on another customer's subscription (changing its payment method, or cancelling and re-binding it) when they know the target subscription identifier.
📍 영향받는 시스템
FluentCart A New Era of eCommerce WordPress plugin version < 1.4.0
⚔️ 공격 벡터
인증된 사용자가 타인의 구독 식별자를 이용해 결제 관련 API 엔드포인트에 요청을 보내는 방식
🛡️ 대응 방법
FluentCart 플러그인을 최신 버전인 1.4.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 FluentCart 플러그인의 버전을 확인하여 1.4.0 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'fluentcart'