🇰🇷 한글 설명
WordPress의 Appointment Booking Calendar 플러그인 1.3.96 이하 버전에서 권한 검증 누락 취약점이 발견되었습니다. 공격자가 인증 없이 결제 알림 엔드포인트를 조작하여 임의의 예약을 확정하고 캘린더에 삽입할 수 있습니다. 이로 인해 관리자 및 고객에게 잘못된 알림 메일이 발송되어 운영에 차질을 줄 수 있습니다.
💡 쉬운 설명
예약 관리 플러그인이 결제 완료 신호를 진짜인지 확인하지 않고 그대로 믿어버리는 문제입니다. 해커가 가짜 결제 신호를 보내면 실제 결제를 하지 않고도 마음대로 예약을 확정할 수 있습니다.
🇺🇸 원문 (English)
The Appointment Booking Calendar plugin for WordPress is vulnerable to Missing Authorization in all versions up to, and including, 1.3.96. This is due to the plugin exposing an unauthenticated booking processing endpoint (cpabc_appointments_check_IPN_verification) that trusts attacker-supplied payment notifications without verifying their origin, authenticity, or requiring proper authorization checks. This makes it possible for unauthenticated attackers to arbitrarily confirm bookings and insert them into the live calendar via the 'cpabc_ipncheck' parameter, triggering administrative and customer notification emails and disrupting operations.
📍 영향받는 시스템
WordPress Appointment Booking Calendar plugin (버전 1.3.96 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 'cpabc_ipncheck' 파라미터를 사용하여 조작된 결제 알림(IPN)을 전송
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, 결제 알림 검증 로직이 포함된 보안 패치를 적용하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 1.3.96 이하인지 체크하십시오.
wp plugin list --status=active | grep -E 'appointment-booking-calendar'