🇰🇷 한글 설명
WPC Name Your Price for WooCommerce 플러그인 2.2.5 미만 버전에서 'Select' 가격 모드로 설정된 제품의 서버 측 가격 허용 목록이 강제되지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 방문자가 판매자가 설정한 최소 가격보다 낮은 임의의 가격으로 제품을 장바구니에 담고 실제 주문을 완료할 수 있어 매출 손실을 초래할 수 있습니다.
💡 쉬운 설명
물건 가격을 직접 입력할 수 있는 기능에서, 판매자가 정해둔 최소 금액보다 더 낮은 금액을 입력해도 결제가 되어버리는 문제입니다. 해커가 아주 싼 가격에 물건을 주문하여 상점에 금전적 손해를 입힐 수 있습니다.
🇺🇸 원문 (English)
The WPC Name Your Price for WooCommerce WordPress plugin before 2.2.5 does not enforce its server-side price allowlist for products configured in "Select" price mode, allowing an unauthenticated visitor to add such a product to the cart at an arbitrary value below the merchant-defined allowed prices and commit a real order at that price (revenue loss / underpriced orders). This is a distinct, unfixed vector from CVE-2025-12115, whose 2.2.0 fix only addressed applying a custom price to products where Name Your Price is disabled and left the Select-mode allowlist unenforced through 2.2.4.
📍 영향받는 시스템
WPC Name Your Price for WooCommerce WordPress plugin version < 2.2.5
⚔️ 공격 벡터
인증되지 않은 사용자가 제품 추가 시 서버의 가격 검증을 우회하여 임의의 낮은 가격을 전송
🛡️ 대응 방법
WPC Name Your Price for WooCommerce 플러그인을 2.2.5 버전 이상으로 즉시 업데이트
🔧 검증 코드
출력된 플러그인 버전이 2.2.5 미만인지 확인하여 취약 여부를 판단합니다.
wp plugin list --status=active | grep -i 'name-your-price' && wp plugin list --format=json | jq '.[] | select(.name=="name-your-price") | .version'