🇰🇷 한글 설명
CubeCart 이커머스 소프트웨어 6.7.5 미만 버전에서 GDPR 도구가 페이지 읽기 권한(CC_PERM_READ)만으로 삭제 명령을 수행할 수 있는 취약점이 발견되었습니다. 이로 인해 읽기 전용 권한을 가진 관리자가 고객 기록이나 게스트 계정을 임의로 삭제하여 데이터의 무결성과 가용성을 해칠 수 있습니다.
💡 쉬운 설명
관리자 권한 중 '읽기' 권한만 가진 사람도 실제로는 고객 정보를 삭제할 수 있는 보안 허점이 있습니다. 실수나 악의적인 의도로 중요한 고객 데이터를 영구적으로 지워버릴 위험이 있습니다.
🇺🇸 원문 (English)
CubeCart is an ecommerce software solution. Prior to 6.7.5, the GDPR tools in admin/sources/customers.gdpr.inc.php rely on page-level CC_PERM_READ access and do not require CC_PERM_DELETE for the purge, no_order_purge, or delete_guests commands. An authenticated administrator with read-only customer privileges can invoke these backend actions directly to bypass interface restrictions and irreversibly delete customer records, accounts without orders, or guest accounts, compromising data integrity and availability. This issue is fixed in version 6.7.5.
📍 영향받는 시스템
CubeCart 6.7.5 미만 모든 버전
⚔️ 공격 벡터
인증된 읽기 전용 관리자가 백엔드 명령(purge, delete_guests 등)을 직접 호출하여 권한 우회
🛡️ 대응 방법
CubeCart를 최신 보안 패치가 적용된 6.7.5 버전 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 CubeCart의 버전이 6.7.5 미만인지 관리자 패널 또는 설정 파일을 통해 확인하십시오.
php -r 'echo "Check CubeCart version in config or via admin panel";' | grep -i '6.7.5'