🇰🇷 한글 설명
Dokan: AI Powered WooCommerce Multivendor Marketplace Solution WordPress 플러그인 5.0.9 미만 버전에서 REST 엔드포인트의 주문 소유권 검증 미흡 취약점이 발견되었습니다. 이로 인해 Dokan 판매자 계정을 가진 사용자가 다른 판매자나 고객의 주문 상태를 임의로 변경할 수 있습니다.
💡 쉬운 설명
쇼핑몰 운영 도구의 보안 허점으로 인해, 일반 판매자가 다른 판매자의 주문 내역을 마음대로 조작할 수 있는 문제입니다. 주문 상태를 멋대로 바꿔서 쇼핑몰 운영에 혼란을 줄 수 있습니다.
🇺🇸 원문 (English)
The Dokan: AI Powered WooCommerce Multivendor Marketplace Solution WordPress plugin before 5.0.9 does not verify order ownership on a REST endpoint that performs bulk order-status changes, allowing users with a Dokan vendor account to modify the status of any WooCommerce order on the marketplace, including orders belonging to other vendors and the store's own customers.
📍 영향받는 시스템
Dokan: AI Powered WooCommerce Multivendor Marketplace Solution WordPress plugin version < 5.0.9
⚔️ 공격 벡터
권한이 없는 판매자가 조작된 REST API 요청을 통해 타인의 주문 상태 변경 엔드포인트에 접근
🛡️ 대응 방법
Dokan 플러그인을 최신 버전인 5.0.9 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 dokan 플러그인의 버전을 확인하여 5.0.9 미만인지 체크합니다.
wp plugin list --status=active | grep -E 'dokan'