🇰🇷 한글 설명
WordPress의 Events Manager 플러그인 7.2.2.2 이하 버전에서 'get_location' 액션을 통해 정보 노출 취약점이 발생합니다. 공격자는 적절한 권한 제한이 부족한 점을 악용하여 비밀번호로 보호되거나 비공개 또는 초안 상태인 이벤트 장소 데이터를 추출할 수 있습니다.
💡 쉬운 설명
이벤트 관리 플러그인의 보안 설정 오류로 인해, 원래는 볼 수 없어야 하는 비밀스러운 장소 정보가 외부로 유출될 수 있습니다. 로그인하지 않은 공격자도 숨겨진 이벤트 장소 데이터를 몰래 가져갈 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
The Events Manager – Calendar, Bookings, Tickets, and more! plugin for WordPress is vulnerable to Information Exposure in all versions up to, and including, 7.2.2.2 via the 'get_location' action due to insufficient restrictions on which locations can be included. This makes it possible for unauthenticated attackers to extract data from password protected, private, or draft event locations that they should not have access to.
📍 영향받는 시스템
WordPress Events Manager plugin (version 7.2.2.2 and below)
⚔️ 공격 벡터
인증되지 않은 공격자가 'get_location' 액션을 호출하여 비공개 장소 데이터에 접근
🛡️ 대응 방법
Events Manager 플러그인을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 events-manager의 버전을 확인하여 7.2.2.2 이하인지 체크합니다.
wp plugin list --status=active | grep -E 'events-manager'