🇰🇷 한글 설명
Xpro Addons — 140+ Widgets for Elementor WordPress 플러그인 1.7.8 미만 버전에서 권한 및 게시 상태 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 방문자가 제품 식별자를 통해 공개되지 않은 제품(임시 저장, 대기 중, 비공개 또는 예약 상태)의 제목, 가격, SKU, 설명 및 재고 정보를 조회할 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 일반 방문자도 쇼핑몰 관리자가 숨겨놓은 미공개 상품 정보를 몰래 볼 수 있는 보안 취약점입니다. 상품의 가격이나 재고 상태 같은 민감한 정보가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
The Xpro Addons — 140+ Widgets for Elementor WordPress plugin before 1.7.8 does not perform any capability or post-status check before rendering a WooCommerce product summary from a supplied product identifier, allowing unauthenticated visitors to retrieve the title, price, SKU, description and stock details of products that are not publicly published (draft, pending, private or scheduled status).
📍 영향받는 시스템
Xpro Addons — 140+ Widgets for Elementor WordPress plugin version < 1.7.8
⚔️ 공격 벡터
공격자가 제품 식별자(ID)를 조작하여 요청을 보냄으로써 비공개 상품 정보를 탈취
🛡️ 대응 방법
Xpro Addons 플러그인을 최신 버전인 1.7.8 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.7.8보다 낮으면 취약한 상태입니다.
wp plugin list --name xpro-addons --format=json | grep -oP '(?<=version":")[^"]+'