🇰🇷 한글 설명
WP Helper Premium WordPress 플러그인 4.7.6 미만 버전에서 주문 키 검증 미흡으로 인해 발생하는 취약점입니다. 인증되지 않은 사용자가 다른 고객의 개인정보가 포함된 주문 상세 내역을 조회하거나 임의의 주문 상태를 변경할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 다른 사람의 주문 정보와 개인정보를 몰래 훔쳐보거나 주문 상태를 마음대로 바꿀 수 있는 보안 결함입니다. 쇼핑몰 운영 시 고객 정보 유출과 주문 관리 혼란을 야기할 수 있습니다.
🇺🇸 원문 (English)
The WP Helper Premium WordPress plugin before 4.7.6 does not verify the order key when rendering its custom order confirmation page or when handling the related AJAX actions, allowing unauthenticated users to view other customers' order details, including personal information, as well as change the state of arbitrary orders.
Exploitation requires WooCommerce to be active and the WP Helper Premium WordPress plugin before 4.7.6's optional order confirmation page module to be enabled.
📍 영향받는 시스템
WP Helper Premium WordPress plugin version < 4.7.6 (WooCommerce 활성화 및 주문 확인 페이지 모듈 사용 시)
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 주문 키를 사용하여 AJAX 액션 또는 주문 확인 페이지에 접근
🛡️ 대응 방법
WP Helper Premium 플러그인을 최신 버전인 4.7.6 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 4.7.6 미만인지 확인하여 취약 여부를 판단합니다.
wp plugin list --status=active | grep -i 'wp-helper-premium' && wp plugin list --all | grep -E 'wp-helper-premium' | awk '{print $2 " " $3}'