🇰🇷 한글 설명
WooCommerce용 Wallet System 플러그인 2.8.0 미만 버전에서 출금 요청 시 계정 소유권 검증이 누락되는 취약점이 발견되었습니다. 이를 통해 인증된 사용자는 타인의 지갑 계정으로 원하는 금액과 지급처를 지정하여 출금 요청을 보낼 수 있으며, 대상 사용자의 정상적인 출금 요청을 무한히 방해할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 다른 사람의 지갑에서 돈을 빼가겠다고 요청할 수 있는 보안 결함입니다. 이로 인해 타인의 자금을 가로채거나 상대방이 돈을 찾지 못하게 방해할 수 있습니다.
🇺🇸 원문 (English)
The Wallet System for WooCommerce WordPress plugin before 2.8.0 does not verify that the wallet account named in a withdrawal submission belongs to the user making it, allowing any authenticated user, such as a subscriber, to file a withdrawal request against another user's wallet for an amount and a payout destination of their choosing, and to indefinitely prevent that user from submitting withdrawals of their own.
📍 영향받는 시스템
The Wallet System for WooCommerce WordPress plugin version < 2.8.0
⚔️ 공격 벡터
인증된 사용자(구독자 등)가 조작된 출금 요청을 전송하여 타인의 지갑 계정 정보를 이용함
🛡️ 대응 방법
The Wallet System for WooCommerce 플러그인을 2.8.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 이름 옆의 버전 번호가 2.8.0 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'wallet-system' && wp plugin list --all | grep -E 'wallet-system' | awk '{print $2, $3}'