🇰🇷 한글 설명
stape.io의 GTM Server Side 플러그인은 WordPress 사이트에 서버 사이드 추적 기능을 제공합니다. 버전 2.0.0부터 2.1.48 미만까지 WooCommerce 구매 이벤트 추적 기능에 결함이 있어, 인증되지 않은 공격자가 다른 고객의 주문 데이터(개인식별정보 포함)를 페이지의 JavaScript dataLayer에 노출시킬 수 있습니다. 해당 문제는 버전 2.1.48에서 패치되었습니다.
💡 쉬운 설명
웹사이트에서 쇼핑 주문을 추적하는 플러그인의 버그로 인해, 다른 고객의 주문 정보와 개인정보가 웹페이지 소스에 노출될 수 있습니다. 해당 플러그인을 최신 버전으로 업데이트하면 문제가 해결됩니다.
🇺🇸 원문 (English)
The GTM Server Side plugin by stape.io implements server-side tracking on WordPress websites. From version 2.0.0 to before version 2.1.48, the WooCommerce purchase event tracking mechanism allows an unauthenticated attacker to trigger the rendering of another customer's full order data — including personally identifiable information (PII) — into the page's JavaScript dataLayer. This issue has been patched in version 2.1.48.
📍 영향받는 시스템
WordPress용 GTM Server Side 플러그인(stape.io) 2.0.0 이상 2.1.48 미만
⚔️ 공격 벡터
인증 없이 구매 이벤트 추적 기능을 통해 다른 고객의 주문 데이터가 페이지의 dataLayer에 렌더링되도록 유도하여 개인정보를 탈취
🛡️ 대응 방법
GTM Server Side 플러그인을 버전 2.1.48 이상으로 업데이트
🔧 검증 코드
출력된 버전이 2.1.48 이상이면 패치 적용됨, 2.1.48 미만이거나 명령 실패 시 취약 가능성이 있으므로 업데이트 필요
wp plugin get gtm-server-side --field=version 2>/dev/null