🇰🇷 한글 설명
WordPress의 The Events Calendar 플러그인 6.15.9 이하 버전에서 권한 확인 미흡으로 인한 무단 접근 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 임시 저장된 이벤트 이름을 확인하고 QR 코드를 생성하거나 볼 수 있습니다.
💡 쉬운 설명
웹사이트의 일반 회원 권한을 가진 사람이 관리자만 볼 수 있는 예약된 이벤트 정보를 몰래 훔쳐볼 수 있는 문제입니다. 공격자는 이를 통해 아직 공개되지 않은 행사 정보를 미리 파악할 수 있습니다.
🇺🇸 원문 (English)
The The Events Calendar plugin for WordPress is vulnerable to unauthorized access due to a missing capability check on the 'tec_qr_code_modal' AJAX endpoint in all versions up to, and including, 6.15.9. This makes it possible for authenticated attackers, with Subscriber-level access and above, to view draft event names and generate/view QR codes for them.
📍 영향받는 시스템
The Events Calendar plugin for WordPress (버전 6.15.9 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증된 사용자(구독자 권한 이상)가 'tec_qr_code_modal' AJAX 엔드포인트를 직접 호출하여 데이터 탈취
🛡️ 대응 방법
The Events Calendar 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 the-events-calendar의 버전이 6.15.9 이하인지 확인하십시오.
wp plugin list --status=active | grep -E 'the-events-calendar'