🇰🇷 한글 설명
Subscriptions for WooCommerce WordPress 플러그인 2.0.1 미만 버전에서 구독 소유권 확인 절차가 누락되었습니다. 이로 인해 인증된 고객이라면 누구나 다른 고객의 구독 ID를 입력하여 구독 제품, 상태, 날짜 등의 개인 정보를 열람할 수 있습니다.
💡 쉬운 설명
로그인한 고객이 다른 사람의 구독 번호만 알면 그 사람의 구매 내역을 몰래 볼 수 있는 보안 결함입니다. 개인 정보가 노출될 위험이 있으므로 주의가 필요합니다.
🇺🇸 원문 (English)
The Subscriptions for WooCommerce WordPress plugin before 2.0.1 does not verify that the requester owns the subscription being viewed before rendering its details, allowing any authenticated customer to read another customer's subscription information (the subscribed product, status, and dates) by supplying that subscription's ID.
📍 영향받는 시스템
Subscriptions for WooCommerce WordPress plugin version < 2.0.1
⚔️ 공격 벡터
인증된 사용자가 다른 사용자의 구독 ID를 직접 입력하여 정보를 요청하는 방식 (IDOR)
🛡️ 대응 방법
Subscriptions for WooCommerce 플러그인을 2.0.1 이상 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 설치된 버전이 2.0.1 미만인지 확인해야 합니다.
wp plugin list --status=active | grep -i 'subscriptions-for-woocommerce'