🇰🇷 한글 설명
Appointment Booking Plugin 5.6.5 미만 버전에서 백엔드 스태프 사용자의 권한 검증 미흡으로 인해 발생합니다. 인증된 스태프 사용자가 자신의 권한 범위를 벗어나 사이트 내의 다른 스태프가 생성한 주문, 고객 또는 트랜잭션 기록을 임의로 삭제할 수 있습니다.
💡 쉬운 설명
권한이 제한된 직원이 시스템의 보안 허점을 이용해 다른 직원의 업무 기록이나 고객 정보를 마음대로 지울 수 있는 문제입니다. 이로 인해 중요한 예약 데이터나 결제 내역이 복구 불가능하게 삭제될 위험이 있습니다.
🇺🇸 원문 (English)
The Appointment Booking Plugin WordPress plugin before 5.6.5 does not verify that a backend staff user is authorized to act on the specific record targeted for deletion, allowing an authenticated user with a record-scoped staff role to irreversibly delete any order, customer, or transaction on the site, including records belonging to other staff and outside their assigned scope.
📍 영향받는 시스템
WordPress Appointment Booking Plugin 5.6.5 미만 버전
⚔️ 공격 벡터
인증된 스태프 권한을 가진 사용자가 권한 검증이 누락된 삭제 요청을 전송하여 공격
🛡️ 대응 방법
Appointment Booking Plugin을 최신 버전인 5.6.5 이상으로 업데이트
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 5.6.5 미만인지 체크
wp plugin list --status=active | grep -i 'appointment-booking'