[CVE] CVE-2025-15484 (CVSS 9.1 · 치명적) [CWE-287]

핵심 요약

WooCommerce용 Order Notification WordPress 플러그인 3.6.3 이전 버전에서 인증되지 않은 사용자가 상점 리소스에 대한 완전한 읽기/쓰기 권한을 획득할 수 있는 치명적인 접근통제 우회 취약점(CVE-2025-15484, CVSS 9.1)이 발견되었습니다. 이 취약점은 플러그인이 WooCommerce의 권한 검사를 부적절하게 처리하여, 인증되지 않은 요청에도 불구하고 제품, 쿠폰, 고객 정보와 같은 민감한 상점 데이터에 대한 접근통제(A01:2021 – 취약한 접근통제)가 실패하도록 허용하는 것이 근본 원인입니다. 공격자는 이 취약점을 악용하여 고객 개인정보를 유출하거나 상점 데이터를 변조하는 등의 악의적인 행위를 수행할 수 있습니다. IT 감사인은 웹 서비스에 사용되는 모든 플러그인 및 서드파티 모듈에 대한 정기적인 보안 취약점 점검 및 최신 버전 유지 관리의 중요성을 인지하고, 접근통제 메커니즘의 견고성을 감사해야 합니다.

💡 개선 권고안

• ✔기술적 조치WooCommerce용 Order Notification WordPress 플러그인을 즉시 최신 버전인 3.6.3 이상으로 업데이트하거나, 해당 플러그인 사용을 중단하고 보안이 검증된 대체 솔루션을 도입할 것을 권고함.
• ✔기술적 조치웹 방화벽(WAF) 또는 API 게이트웨이를 통해 웹 서비스에 대한 비정상적인 접근 시도 및 권한 우회 공격 패턴을 탐지하고 차단하는 규칙을 강화할 것을 권고함.
• ✔관리적 조치모든 서드파티 플러그인 및 모듈에 대한 정기적인 보안 취약점 점검 절차를 수립하고, CVSS 점수 9.0 이상의 치명적인 취약점에 대해서는 긴급 패치 및 조치 프로세스를 마련하여 시행할 것을 권고함.
• ✔관리적 조치웹 서비스 개발 및 운영 단계에서 OWASP Top 10과 같은 보안 가이드라인을 준수하여 접근통제 설계 및 구현의 견고성을 확보하고, 이에 대한 정기적인 보안 코드 검토 및 모의 해킹을 수행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문