🇰🇷 한글 설명
WordPress용 2DL Hosted Checkout 플러그인의 2Download Connector에서 권한 검증 미흡으로 인한 무단 접근 취약점이 발견되었습니다. 공격자는 인증 없이도 고객의 구독 상태, 제품명, 주문 ID, 구매일 및 만료일과 같은 민감한 구독 데이터를 조회할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 웹사이트의 고객 구독 정보를 몰래 훔쳐볼 수 있는 보안 결함입니다. 고객의 구매 내역과 같은 개인적인 정보가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
The 2Download Connector for 2DL Hosted Checkout plugin for WordPress is vulnerable to unauthorized access in all versions up to, and including, 0.1.5. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to view arbitrary customers' subscription data including subscription status, product names, order IDs, purchase dates, and expiry dates.
📍 영향받는 시스템
2Download Connector for 2DL Hosted Checkout plugin (버전 0.1.5 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 적절한 권한 검증 없이 취약한 API 또는 엔드포인트에 접근하여 데이터를 탈취함
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 설치된 버전이 0.1.5 이하인지 확인이 필요합니다.
wp plugin list --status=active | grep -i '2download-connector'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access