🇰🇷 한글 설명
Appointment Booking 플러그인 5.7.3 미만 버전에서 주문 항목 식별자에 대한 소유권 검증이 누락되었습니다. 이로 인해 인증되지 않은 방문자가 순차적인 주문 항목 ID를 입력하여 다른 고객의 이름, 연락처 및 주문 확인 코드를 탈취할 수 있습니다.
💡 쉬운 설명
예약 플러그인의 보안 허점으로 인해, 누구나 숫자를 하나씩 바꿔 입력하는 것만으로 다른 사람의 개인정보를 몰래 볼 수 있는 문제입니다. 주문 번호를 추측하기 쉬운 방식으로 관리할 때 발생하는 정보 유출 사고입니다.
🇺🇸 원문 (English)
The Appointment Booking Plugin WordPress plugin before 5.7.3 does not verify that the caller owns the order referenced by an order-item identifier before rendering that order's confirmation summary, letting an unauthenticated visitor retrieve any customer's name, contact details and order confirmation code by supplying a sequential order-item id.
📍 영향받는 시스템
WordPress Appointment Booking Plugin 5.7.3 미만 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 순차적인 order-item ID를 요청에 포함시켜 전송하는 방식
🛡️ 대응 방법
Appointment Booking 플러그인을 최신 버전인 5.7.3 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 Appointment Booking의 버전을 확인하여 5.7.3 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'appointment booking'