🇰🇷 한글 설명
Appointment Booking 플러그인 5.6.9 미만 버전에서 AI Abilities API의 권한 검증 미흡으로 인해 발생합니다. LatePoint Agent 권한을 가진 인증된 사용자가 다른 에이전트의 프로필 정보와 예약 및 고객 상세 정보를 읽거나 수정할 수 있습니다.
💡 쉬운 설명
예약 관리자 권한을 가진 사용자가 원래 볼 수 없는 다른 직원의 개인 정보와 고객 예약 내역을 몰래 보거나 고칠 수 있는 보안 결함입니다. AI 기능이 켜져 있을 때 권한 확인 절차가 제대로 작동하지 않아 발생합니다.
🇺🇸 원문 (English)
The Appointment Booking Plugin WordPress plugin before 5.6.9 does not enforce per-record authorization on several of its AI Abilities API actions, allowing an authenticated user holding the LatePoint Agent role, normally restricted to their own records, to read and modify other agents' profile data and read other agents' bookings and associated customer details when the Abilities API feature is enabled.
📍 영향받는 시스템
WordPress Appointment Booking Plugin version < 5.6.9
⚔️ 공격 벡터
인증된 LatePoint Agent 권한을 이용한 AI Abilities API 호출을 통한 권한 우회
🛡️ 대응 방법
Appointment Booking 플러그인을 최신 버전(5.6.9 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 5.6.9보다 낮으면 취약한 상태입니다.
wp plugin list --name appointment-booking --format=json | grep -oP '(?<=version\":")[^"]+'