🇰🇷 한글 설명
WordPress용 Fluent Forms 플러그인 6.2.8 이하 버전에서 'transaction' 매개변수에 대한 검증 미흡으로 인해 IDOR 취약점이 발생합니다. 인증되지 않은 공격자가 트랜잭션 해시를 무차별 대입(Brute-force)하여 타인의 결제 영수증에 포함된 이름, 이메일, 주소, 주문 내역 등 민감한 정보를 탈취할 수 있습니다.
💡 쉬운 설명
폼 작성 도구의 결제 확인 기능에 허점이 있어, 해커가 무작위 숫자를 입력해 다른 사람이 결제한 상세 내역을 훔쳐볼 수 있는 문제입니다. 로그인 없이도 다른 고객의 이름이나 주소 같은 개인정보를 알아낼 수 있어 위험합니다.
🇺🇸 원문 (English)
The Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 6.2.8 via the 'transaction' parameter due to missing validation on a user controlled key. This makes it possible for unauthenticated attackers to brute-force valid transaction hashes and view sensitive payment receipt data including customer name, email address, billing address, order items, payment method, and payment status belonging to other users. Because submission ID, form ID, and transaction creation time are either observable or guessable by an attacker, the effective brute-force space is bounded to approximately 900 candidates per second per (submission, form) pair, making exploitation practical without any prior authentication or account.
📍 영향받는 시스템
Fluent Forms (WordPress plugin) version 6.2.8 and below
⚔️ 공격 벡터
인증되지 않은 공격자가 'transaction' 매개변수에 대한 무차별 대입 공격을 통해 유효한 트랜잭션 해시를 찾아냄
🛡️ 대응 방법
Fluent Forms 플러그인을 최신 버전(6.2.9 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 fluentform의 버전이 6.2.8 이하인지 확인하십시오.
wp plugin list --allow-root | grep -E 'fluentform'