🇰🇷 한글 설명
Order Sync with Zendesk for WooCommerce WordPress 플러그인 2.2.3 미만 버전에서 REST API 엔드포인트에 대한 권한 확인이 누락되었습니다. 이로 인해 공격자가 이메일 주소를 알고 있는 고객의 주문 내역과 총 구매 금액을 인증 없이 조회할 수 있습니다.
💡 쉬운 설명
플러그인의 보안 허점으로 인해, 고객의 이메일 주소만 알면 누구나 그 사람의 쇼핑 내역을 몰래 훔쳐볼 수 있는 상태입니다. 개인 정보가 유출될 위험이 있으므로 주의가 필요합니다.
🇺🇸 원문 (English)
The Order Sync with Zendesk for WooCommerce WordPress plugin before 2.2.3 does not perform any capability check on one of its REST API endpoints, and does not verify that the requester owns the account being queried, allowing unauthenticated attackers to retrieve the order history and purchase totals of any customer whose email address they know or can enumerate.
📍 영향받는 시스템
Order Sync with Zendesk for WooCommerce WordPress plugin version < 2.2.3
⚔️ 공격 벡터
인증되지 않은 공격자가 이메일 주소를 이용해 REST API 엔드포인트에 직접 요청을 보내는 방식
🛡️ 대응 방법
해당 플러그인을 최신 버전인 2.2.3 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 2.2.3보다 낮은지 확인하십시오.
wp plugin list --status=active | grep 'order-sync-with-zendesk' && wp plugin list --status=active | grep -E 'order-sync-with-zendesk' | awk '{print $2}'