🇰🇷 한글 설명
WordPress용 LatePoint 플러그인의 5.6.9 이하 버전에서 발생하는 IDOR(부적절한 직접 객체 참조) 취약점입니다. set_customer_object 함수에서 사용자 제어 키에 대한 검증이 누락되어, 인증되지 않은 공격자가 고객 ID를 순차적으로 대입하여 고객의 이름, 이메일, 전화번호 등 개인정보를 탈취할 수 있습니다.
💡 쉬운 설명
예약 플러그인의 보안 허점을 이용해 다른 사람의 개인정보를 몰래 훔쳐볼 수 있는 문제입니다. 고객 인증 기능이 꺼져 있는 사이트에서 공격자가 번호를 하나씩 바꿔가며 고객 명단을 조회할 수 있습니다.
🇺🇸 원문 (English)
The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 5.6.9 via the set_customer_object due to missing validation on a user controlled key. This makes it possible for unauthenticated attackers to enumerate arbitrary customer records and disclose personally identifiable information - including first name, last name, email address, and phone number - by iterating the customer[id] parameter. This issue is exploitable only when the site is configured with customer authentication disabled (guest checkout enabled).
📍 영향받는 시스템
LatePoint – Calendar & Scheduling for WordPress plugin (버전 5.6.9 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 customer[id] 파라미터 값을 변경하며 고객 레코드를 열거하는 방식
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, 고객 인증(Customer Authentication) 기능을 활성화하여 게스트 결제를 제한해야 합니다.
🔧 검증 코드
출력된 결과에서 LatePoint 플러그인의 설치 여부를 확인하고, 현재 설치된 버전이 5.6.9 이하인지 대조합니다.
wp plugin list --status=active | grep -i 'latepoint'