🇰🇷 한글 설명
MultiVendorX WordPress 플러그인 5.0.15 이전 버전에서 REST API 목록 경로에 대한 적절한 권한 제어가 결여되어 있습니다. 이로 인해 인증되지 않은 사용자가 판매자의 연락처, 정산 세부 정보, 미지급 금액 및 상점 신청에 첨부된 관리자 메모를 탈취할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 웹사이트의 판매자 개인정보와 돈과 관련된 민감한 정보를 몰래 훔쳐볼 수 있는 보안 결함입니다. 판매자의 연락처나 정산 내역 같은 중요한 데이터가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
The MultiVendorX WordPress plugin before 5.0.15 does not have proper authorisation controls on one of its REST API listing routes, allowing unauthenticated users to retrieve vendor contact and payout details, pending payout amounts, and administrative notes attached to store applications.
📍 영향받는 시스템
MultiVendorX WordPress plugin version < 5.0.15
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 REST API 요청을 통해 민감한 데이터를 조회하는 방식
🛡️ 대응 방법
MultiVendorX 플러그인을 최신 버전인 5.0.15 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 multivendorx의 버전이 5.0.15 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'multivendorx'