🇰🇷 한글 설명
Booking Calendar WordPress 플러그인 11.8.3 이전 버전에서 권한 제한이 미흡하여 발생하는 취약점입니다. 에디터(Editor) 이상의 권한을 가진 사용자가 설정 핸들러를 통해 사이트 핵심 구성 정보를 포함한 임의의 워드프레스 옵션 값을 노출시킬 수 있습니다.
💡 쉬운 설명
사이트 관리 권한이 낮은 사용자(에디터 등)가 원래는 볼 수 없는 사이트의 중요한 설정 정보들을 몰래 훔쳐볼 수 있는 문제입니다. 이를 통해 사이트의 보안 설정이나 중요한 데이터가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The Booking Calendar WordPress plugin before 11.8.3 does not adequately restrict which options a lower-privileged user can load through one of its settings handlers, allowing users with the Editor role and above to disclose the values of arbitrary WordPress options, including core site configuration.
📍 영향받는 시스템
Booking Calendar WordPress plugin version < 11.8.3
⚔️ 공격 벡터
권한이 있는 사용자(Editor 이상)가 조작된 요청을 설정 핸들러로 보내 임의의 옵션 값을 조회
🛡️ 대응 방법
Booking Calendar 플러그인을 최신 버전인 11.8.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 booking-calendar의 버전을 확인하여 11.8.3 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'booking-calendar'