🇰🇷 한글 설명
Ultimate Gift Cards for WooCommerce WordPress 플러그인 3.2.10 미만 버전에서 권한 확인 절차가 누락되어 발생합니다. 인증되지 않은 사용자가 임의의 주문에 연결된 기프트 카드 상세 정보와 고객의 개인 정보, 잔액, 날짜 등을 조회할 수 있으며, 3.2.9 버전의 경우 실제 사용 가능한 리뎀션 코드까지 노출될 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인도 웹사이트의 기프트 카드 정보를 몰래 훔쳐볼 수 있는 보안 결함입니다. 이로 인해 고객의 개인정보가 유출되거나, 심지어 기프트 카드를 누군가 가로채서 사용할 수도 있습니다.
🇺🇸 원문 (English)
The Ultimate Gift Cards for WooCommerce WordPress plugin before 3.2.10 does not have any authorisation check when displaying gift card details, allowing unauthenticated users to retrieve the gift cards attached to arbitrary orders and disclose customer personal data, balances, dates and, in 3.2.9, the live redemption code, which anyone holding it can spend.
Versions from 3.0.3 to 3.2.8 disclose the same data without the redemption code.
📍 영향받는 시스템
Ultimate Gift Cards for WooCommerce WordPress plugin 3.0.3 ~ 3.2.9
⚔️ 공격 벡터
인증되지 않은 사용자가 권한 확인 없이 기프트 카드 상세 정보 조회 API 또는 페이지에 접근
🛡️ 대응 방법
해당 플러그인을 최신 버전인 3.2.10 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전이 3.2.10 미만인지 확인하십시오.
wp plugin list --status=active | grep -E 'ultimate-gift-cards-for-woocommerce'