🇰🇷 한글 설명
Woocommerce WordPress 플러그인인 E-cab Taxi Booking Manager 2.0.5 미만 버전에서 클라이언트가 제공한 이동 거리와 기본 요금 값을 서버에서 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 주문 총액을 0원으로 조작하여 임의의 가격으로 실제 택시 예약 주문을 생성할 수 있습니다.
💡 쉬운 설명
택시 예약 플러그인에서 가격 계산 시 사용자가 입력한 값을 제대로 확인하지 않는 문제입니다. 해커가 가격을 0원으로 조작하여 실제 서비스를 공짜로 이용할 수 있습니다.
🇺🇸 원문 (English)
The E-cab Taxi Booking Manager for Woocommerce WordPress plugin before 2.0.5 does not validate a client-supplied trip distance and base-price value on the server before pricing a booking, allowing unauthenticated attackers to manipulate the order total down to zero and place real taxi-booking orders at an arbitrary price.
📍 영향받는 시스템
E-cab Taxi Booking Manager for Woocommerce WordPress plugin version < 2.0.5
⚔️ 공격 벡터
인증되지 않은 공격자가 클라이언트 측에서 전송되는 요금 관련 파라미터(trip distance, base-price)를 조작하여 서버로 전송
🛡️ 대응 방법
E-cab Taxi Booking Manager 플러그인을 최신 버전인 2.0.5 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치 여부를 확인하고, 플러그인 관리자 페이지에서 버전이 2.0.5 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'e-cab-taxi-booking-manager'