🇰🇷 한글 설명
MStore API WordPress 플러그인 4.21.0 미만 버전에서 vendor-orders 엔드포인트의 권한 제한이 미흡한 취약점이 발견되었습니다. 이로 인해 구독자를 포함한 모든 인증된 사용자가 상점 내 모든 WooCommerce 주문 내역과 고객의 개인정보를 열람할 수 있습니다.
💡 쉬운 설명
로그인한 일반 회원이라면 누구나 다른 고객들의 주문 내역과 개인정보를 몰래 훔쳐볼 수 있는 보안 결함입니다. 쇼핑몰 운영자라면 고객 정보 유출을 막기 위해 즉시 업데이트가 필요합니다.
🇺🇸 원문 (English)
The MStore API WordPress plugin before 4.21.0 does not restrict its vendor-orders endpoint to the caller's own orders, allowing any authenticated user, including Subscribers, to read every WooCommerce order in the store together with each customer's personal information.
📍 영향받는 시스템
MStore API WordPress plugin version < 4.21.0
⚔️ 공격 벡터
인증된 사용자(구독자 등)가 권한이 없는 vendor-orders API 엔드포인트에 접근하여 데이터를 탈취
🛡️ 대응 방법
MStore API WordPress 플러그인을 4.21.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 플러그인 버전이 4.21.0 미만인 경우 해당 취약점에 노출된 상태입니다.
wp plugin list --allow-root | grep -E 'mstore-api'