🇰🇷 한글 설명
WordPress의 Booking Plugin for WordPress Appointments – Time Slot 플러그인 1.4.7 이하 버전에서 tslot_appt_email AJAX 액션에 대한 검증 누락으로 인해 인증되지 않은 사용자가 이메일을 무단으로 발송할 수 있는 취약점이 발견되었습니다. 공격자는 임의의 수신자에게 공격자가 제어하는 텍스트가 포함된 예약 알림 이메일을 보낼 수 있으며, 이는 피싱 캠페인이나 스팸 유포에 악용될 수 있습니다.
💡 쉬운 설명
해당 플러그인을 사용하는 웹사이트가 공격자의 도구로 이용되어 스팸 메일이나 사기 메일을 대신 보내는 통로가 될 수 있습니다. 로그인하지 않은 외부인도 웹사이트의 기능을 이용해 마음대로 이메일을 보낼 수 있는 상태입니다.
🇺🇸 원문 (English)
The Booking Plugin for WordPress Appointments – Time Slot plugin for WordPress is vulnerable to unauthorized email sending in versions up to, and including, 1.4.7 due to missing validation on the tslot_appt_email AJAX action. This makes it possible for unauthenticated attackers to send appointment notification emails to arbitrary recipients with attacker-controlled text content in certain email fields, potentially enabling the site to be abused for phishing campaigns or spam distribution.
📍 영향받는 시스템
Booking Plugin for WordPress Appointments – Time Slot (버전 1.4.7 및 그 이하 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 AJAX 요청을 통해 임의의 수신자에게 이메일 발송
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나 해당 취약점이 해결된 패치를 적용하십시오.
🔧 검증 코드
플러그인 목록에서 해당 플러그인을 확인한 후, 설치된 디렉토리의 version 파일이나 관리자 화면에서 버전이 1.4.7 이하인지 확인하십시오.
wp plugin list --status=active | grep -i 'booking-plugin' && echo 'Check version manually in plugin folder'