🇰🇷 한글 설명
WordPress용 Fluent Booking 플러그인의 'importCalendar' 함수에서 권한 확인 절차가 누락되어 발생하는 취약점입니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 임의의 캘린더를 가져오거나 관리할 수 있습니다.
💡 쉬운 설명
로그인만 할 수 있는 일반 사용자도 관리자처럼 남의 일정을 마음대로 가져오거나 수정할 수 있는 보안 구멍이 발견되었습니다. 이로 인해 개인 일정 정보가 노출되거나 잘못된 정보가 입력될 위험이 있습니다.
🇺🇸 원문 (English)
The Fluent Booking plugin for WordPress is vulnerable to unauthorized calendar import and management due to a missing capability check on the "importCalendar" function in all versions up to, and including, 1.9.11. This makes it possible for authenticated attackers, with subscriber level access and above, to import arbitrary calendars and manage them.
📍 영향받는 시스템
Fluent Booking plugin for WordPress (버전 1.9.11 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증된 사용자(구독자 권한 이상)가 권한 검증이 없는 API 함수를 호출하여 공격 수행
🛡️ 대응 방법
Fluent Booking 플러그인을 최신 버전으로 업데이트하여 권한 검증 로직이 적용된 패치를 적용하십시오.
🔧 검증 코드
출력된 버전 번호가 1.9.11 이하이면 취약한 상태이며, 그보다 높으면 안전합니다.
wp plugin list --name fluent-booking --format=json | grep -oP '(?<=version":")[^"]+'