🇰🇷 한글 설명
WC Fields Factory WordPress 플러그인 4.1.11 미만 버전에서 필드 관리 AJAX 액션에 대한 접근 제한이 적절히 이루어지지 않습니다. 이로 인해 구독자(Subscriber) 권한 이상의 인증된 사용자가 소유권과 관계없이 모든 게시물의 메타 데이터를 생성, 수정, 삭제할 수 있으며, 특히 WooCommerce 제품의 가격 규칙을 조작하여 결제 가격을 낮출 수 있습니다.
💡 쉬운 설명
웹사이트의 일반 회원 권한을 가진 사람이 관리자처럼 행동하여 상품 가격을 마음대로 바꾸거나 정보를 수정할 수 있는 보안 결함입니다. 이를 통해 물건을 아주 싼 가격에 구매하는 등의 부정행위가 가능합니다.
🇺🇸 원문 (English)
The WC Fields Factory WordPress plugin before 4.1.11 does not properly restrict access to its field-management AJAX action, allowing authenticated users with Subscriber-level access and above to create, modify and delete arbitrary post meta on any post, including WooCommerce products, regardless of ownership, and to manipulate stored pricing rules on a product to reduce its checkout price.
📍 영향받는 시스템
WC Fields Factory WordPress plugin version < 4.1.11
⚔️ 공격 벡터
인증된 사용자(Subscriber 권한 이상)가 조작된 AJAX 요청을 통해 필드 관리 액션에 접근
🛡️ 대응 방법
WC Fields Factory 플러그인을 최신 버전인 4.1.11 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.1.11보다 낮으면 취약한 상태입니다.
wp plugin list --status=active | grep -i 'wc-fields-factory' && wp plugin list --format=json | jq '.[] | select(.name=="wc-fields-factory") | .version'