🇰🇷 한글 설명
Membership For WooCommerce WordPress 플러그인 3.1.2 미만 버전에서 API 소비자 비밀키 생성 여부를 확인하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 REST API 경로에 접근하여, API는 활성화되어 있으나 키가 생성되지 않은 사이트의 모든 사용자 멤버십 플랜 정보를 유출할 수 있습니다.
💡 쉬운 설명
플러그인의 보안 열쇠가 만들어졌는지 확인하는 과정이 빠져 있어 발생하는 문제입니다. 이로 인해 해커가 아무런 권한 없이도 사이트 사용자들의 멤버십 정보를 몰래 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
The Membership For WooCommerce WordPress plugin before 3.1.2 does not check that an API consumer secret has actually been generated before comparing it against the one supplied in a request, allowing unauthenticated attackers to reach its REST routes and disclose any user's membership plan details on sites where the API has been enabled but no keys were ever generated.
📍 영향받는 시스템
Membership For WooCommerce WordPress plugin version < 3.1.2
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 REST API 요청을 통해 멤버십 정보 노출
🛡️ 대응 방법
Membership For WooCommerce 플러그인을 3.1.2 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 3.1.2 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'membership-for-woocommerce'