🇰🇷 한글 설명
MotoPress Timetable and Event Schedule WordPress 플러그인 2.4.16 미만 버전에서 이벤트 복제 시 사용자 권한 검증이 누락되는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 권한을 가진 낮은 등급의 사용자도 권한이 없는 특정 이벤트를 임의로 열람할 수 있습니다.
💡 쉬운 설명
플러그인의 기능 중 하나인 '이벤트 복제' 과정에서 권한 확인 절차가 빠져 있습니다. 이 때문에 권한이 낮은 사용자가 남의 일정을 몰래 훔쳐볼 수 있는 보안 허점이 존재합니다.
🇺🇸 원문 (English)
The Timetable and Event Schedule by MotoPress WordPress plugin before 2.4.16 does not verify a user has access to a specific event when duplicating, leading to arbitrary event disclosure when to users with a role as low as Contributor.
📍 영향받는 시스템
MotoPress Timetable and Event Schedule WordPress plugin version < 2.4.16
⚔️ 공격 벡터
낮은 권한(Contributor 등)을 가진 사용자가 이벤트 복제 기능을 악용하여 권한이 없는 이벤트 정보를 요청함
🛡️ 대응 방법
MotoPress Timetable and Event Schedule 플러그인을 최신 버전인 2.4.16 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 워드프레스 관리자 페이지의 플러그인 목록에서 현재 설치된 버전을 확인하십시오.
wp plugin list --status=active | grep -i 'timetable' && echo 'Check version manually in WordPress Dashboard'