🇰🇷 한글 설명
WCFM Marketplace WordPress 플러그인 3.8.2 미만 버전에서 환불 요청자의 주문 소유 여부를 올바르게 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 사이트 내 모든 게스트 결제 주문에 대해 임의로 환불 요청을 생성할 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인도 다른 사람이 주문한 내역에 대해 마음대로 환불 신청을 할 수 있는 보안 결함입니다. 이로 인해 쇼핑몰 운영자가 원치 않는 환불 요청을 처리해야 하는 혼란이 발생할 수 있습니다.
🇺🇸 원문 (English)
The WCFM Marketplace WordPress plugin before 3.8.2 does not correctly verify that the person requesting a refund owns the order, allowing unauthenticated users to create refund requests against any guest checkout order on the site.
📍 영향받는 시스템
WCFM Marketplace WordPress plugin version < 3.8.2
⚔️ 공격 벡터
인증되지 않은 사용자가 게스트 결제 주문 정보를 이용해 환불 API 요청을 전송
🛡️ 대응 방법
WCFM Marketplace 플러그인을 최신 버전인 3.8.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 wcfm-marketplace의 버전을 확인하여 3.8.2 미만인지 체크합니다.
wp plugin list --status=active | grep -E 'wcfm-marketplace'