🇰🇷 한글 설명
WP Travel Engine – Tour Booking Plugin 6.8.4 이하 버전에서 권한 우회 취약점이 발견되었습니다. 공격자는 인증 없이 임의의 예약 ID를 세션에 바인딩하여 고객의 이름, 이메일, 주소, 전화번호 등 민감한 결제 정보를 탈취할 수 있습니다. 해당 엔드포인트는 CSRF 보호를 위한 논스(nonce)만 제공할 뿐, 실제 사용자 권한을 검증하지 않습니다.
💡 쉬운 설명
여행 예약 플러그인의 보안 허점으로 인해, 로그인을 하지 않은 외부인도 고객의 개인정보를 몰래 볼 수 있는 문제입니다. 공격자가 예약 번호만 알면 고객의 이름과 연락처, 주소 등을 쉽게 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
The WP Travel Engine – Tour Booking Plugin – Tour Operator Software plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 6.8.4. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to view private booking billing details — including the victim customer's first name, last name, email address, street address, city, and phone number — rendered as default values in checkout form fields by binding an arbitrary booking ID to the attacker's session. The only access control on the endpoint is a frontend nonce that is publicly emitted to all visitors via the wteL10n global on trip pages, meaning it provides CSRF protection only and does not restrict unauthenticated access.
📍 영향받는 시스템
WP Travel Engine – Tour Booking Plugin 6.8.4 및 그 이전 모든 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 임의의 예약 ID를 세션에 바인딩하여 민감한 결제 정보가 포함된 엔드포인트에 접근
🛡️ 대응 방법
플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 WP Travel Engine의 버전을 확인하여 6.8.4 이하인지 체크하십시오.
wp plugin list --status=active | grep -i 'wp-travel-engine'