🇰🇷 한글 설명
DHL Shipping Germany for WooCommerce WordPress 플러그인 4.0.1 미만 버전에서 권한 확인 절차가 누락되었습니다. 인증되지 않은 공격자가 순차적인 ID를 사용하여 고객의 성함, 전체 주소, 주문 참조 정보가 포함된 모든 배송 라벨을 다운로드할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 웹사이트의 배송 라벨 주소를 하나씩 입력해 보며 고객들의 이름과 주소를 모두 훔쳐갈 수 있는 보안 결함입니다. 개인정보가 담긴 배송 서류가 아무런 보호 없이 노출될 수 있는 위험한 상태입니다.
🇺🇸 원문 (English)
The DHL Shipping Germany for WooCommerce WordPress plugin before 4.0.1 does not perform any authorization check (no capability, nonce, login, or ownership check) on one of its shipping-label download endpoints, so an unauthenticated attacker can enumerate sequential ids and download every stored shipping label, each containing the customer's full name, complete postal address, and order reference.
📍 영향받는 시스템
DHL Shipping Germany for WooCommerce WordPress plugin version < 4.0.1
⚔️ 공격 벡터
인증되지 않은 공격자가 배송 라벨 다운로드 엔드포인트의 ID를 순차적으로 변경하여 데이터 탈취
🛡️ 대응 방법
해당 플러그인을 최신 버전(4.0.1 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 4.0.1보다 낮은지 확인하십시오.
wp plugin list --status=active | grep -i 'dhl-shipping-germany' | awk '{print $2}'