🇰🇷 한글 설명
DHL Shipping Germany for WooCommerce WordPress 플러그인 4.0.1 미만 버전에서 배송 라벨 저장 디렉토리에 대한 서버 독립적인 접근 제어가 부족합니다. Apache .htaccess 파일에만 의존하기 때문에, .htaccess를 지원하지 않는 nginx와 같은 웹 서버에서는 인증되지 않은 방문자가 예측 가능한 파일 이름을 통해 고객의 이름과 주소가 포함된 배송 라벨을 다운로드할 수 있습니다.
💡 쉬운 설명
배송 라벨이 저장된 폴더의 보안 설정이 특정 서버 환경에서 작동하지 않아 개인정보가 유출될 수 있는 문제입니다. 해커가 파일 이름을 추측하여 고객의 이름과 주소가 담긴 라벨을 몰래 가져갈 수 있습니다.
🇺🇸 원문 (English)
The DHL Shipping Germany for WooCommerce WordPress plugin before 4.0.1 does not protect its shipping-label storage directory with server-independent access control, relying only on an Apache .htaccess file, so on a web server that does not honor .htaccess (such as nginx) an unauthenticated visitor can download stored shipping labels (each containing a customer's name and postal address) by requesting predictable filenames.
📍 영향받는 시스템
DHL Shipping Germany for WooCommerce WordPress plugin version < 4.0.1
⚔️ 공격 벡터
nginx와 같이 .htaccess를 무시하는 서버 환경에서 예측 가능한 파일 경로를 통한 직접적인 HTTP 요청
🛡️ 대응 방법
플러그인을 최신 버전(4.0.1 이상)으로 업데이트하거나, 서버 설정에서 해당 디렉토리에 대한 직접 접근을 차단하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전이 4.0.1 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'dhl-shipping-germany'