🇰🇷 한글 설명
WC Vendors WordPress 플러그인 2.7.2.1 미만 버전에서 일부 프론트엔드 주문 배송 상태 변경 작업에 CSRF 보호가 누락되었습니다. 이로 인해 공격자는 조작된 요청을 통해 로그인된 판매자가 자신의 주문 배송 상태를 임의로 변경하도록 유도할 수 있습니다.
💡 쉬운 설명
로그인된 판매자가 모르는 사이에 가짜 링크를 클릭하면, 판매자의 주문 상태가 공격자가 원하는 대로 몰래 바뀌어 버릴 수 있는 보안 약점입니다. 판매자의 권한을 도용하여 주문 처리 과정을 방해할 수 있습니다.
🇺🇸 원문 (English)
The WC Vendors WordPress plugin before 2.7.2.1 does not have CSRF protection on some of its front-end order shipment status actions, which could allow attackers to make a logged-in vendor change the shipment status of their own orders via a crafted request.
📍 영향받는 시스템
WC Vendors WordPress plugin version < 2.7.2.1
⚔️ 공격 벡터
로그인된 사용자를 대상으로 한 CSRF(교차 사이트 요청 위조) 공격
🛡️ 대응 방법
WC Vendors 플러그인을 최신 버전인 2.7.2.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 2.7.2.1보다 낮으면 취약한 상태입니다.
wp plugin list --status=active | grep -i 'wc-vendors' && wp plugin list --all | grep -E 'wc-vendors' | awk '{print $2 " " $3}'