🇰🇷 한글 설명
TI WooCommerce Wishlist WordPress 플러그인 2.13.0 미만 버전에서 REST API의 접근 제어 결함이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 프론트엔드와 달리 API를 통해 비공개 위시리스트의 메타데이터와 아이템 내용을 읽을 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인도 다른 사람의 비밀 위시리스트 목록과 내용을 몰래 훔쳐볼 수 있는 보안 취약점입니다. 웹사이트의 API 설정이 제대로 되어 있지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
The TI WooCommerce Wishlist WordPress plugin before 2.13.0 does not enforce the same owner-only access control on its REST API that it applies on the front-end, allowing unauthenticated users to read the metadata and item contents of private wishlists.
📍 영향받는 시스템
TI WooCommerce Wishlist WordPress plugin version < 2.13.0
⚔️ 공격 벡터
인증되지 않은 사용자가 취약한 REST API 엔드포인트에 직접 요청을 보내 비공개 데이터를 조회함
🛡️ 대응 방법
TI WooCommerce Wishlist 플러그인을 최신 버전인 2.13.0 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 버전 정보가 2.13.0 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'ti-woocommerce-wishlist'