🇰🇷 한글 설명
WooCommerce WordPress용 File Uploads Addon 플러그인 1.7.6 미만 버전에서 고객이 업로드한 파일을 요청할 때 업로더 본인인지 확인하는 절차가 누락되었습니다. 이로 인해 공격자가 파일 이름을 알거나 추측할 수 있다면 인증 없이 다른 고객이 업로드한 파일을 다운로드할 수 있습니다.
💡 쉬운 설명
다른 사람이 올린 파일을 파일 이름만 알면 누구나 몰래 다운로드할 수 있는 보안 결함입니다. 개인정보가 담긴 파일이 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The File Uploads Addon for WooCommerce WordPress plugin before 1.7.6 does not verify that the person requesting a customer-uploaded file is the customer who uploaded it, allowing unauthenticated attackers who know or guess a file's name to download other customers' uploaded files.
📍 영향받는 시스템
File Uploads Addon for WooCommerce WordPress plugin version < 1.7.6
⚔️ 공격 벡터
공격자가 다른 사용자의 업로드 파일 이름을 추측하여 직접 다운로드 URL로 접근
🛡️ 대응 방법
File Uploads Addon for WooCommerce 플러그인을 1.7.6 이상 버전으로 업데이트
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 1.7.6 미만인지 체크
wp plugin list --status=active | grep -i 'file-uploads-addon'