🇰🇷 한글 설명
WPC Order Tip for WooCommerce WordPress 플러그인 3.3.1 미만 버전에서 권한 및 논스(nonce) 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 공격자가 고객의 결제 이름, 주문 ID, 상태, 금액, 날짜와 같은 민감한 주문 정보를 탈취할 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인도 쇼핑몰 고객의 개인적인 주문 내역을 몰래 훔쳐볼 수 있는 보안 결함입니다. 주문자의 이름이나 결제 금액 같은 중요한 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The WPC Order Tip for WooCommerce WordPress plugin before 3.3.1 does not perform authorisation or nonce checks in one of its reporting features, allowing unauthenticated attackers to retrieve sensitive order data belonging to any customer of the store, such as billing names, order IDs and statuses, fee amounts and order dates.
📍 영향받는 시스템
WPC Order Tip for WooCommerce WordPress plugin version < 3.3.1
⚔️ 공격 벡터
인증되지 않은 공격자가 권한 확인이 없는 보고 기능 엔드포인트에 직접 요청을 보내 데이터 탈취
🛡️ 대응 방법
WPC Order Tip for WooCommerce 플러그인을 최신 버전인 3.3.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 3.3.1 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'wpc-order-tip'