🇰🇷 한글 설명
Booking Package WordPress 플러그인 1.7.31 이전 버전에서 권한 확인 절차 없이 캘린더 계정 설정 정보를 반환하는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 관리자의 알림 이메일 주소를 포함한 민감한 설정 정보를 노출시킬 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인도 웹사이트 관리자의 이메일 주소와 같은 중요한 설정 정보를 몰래 훔쳐볼 수 있는 보안 구멍이 있습니다. 이 정보가 유출되면 스팸 공격이나 추가적인 해킹 시도에 악용될 위험이 있습니다.
🇺🇸 원문 (English)
The Booking Package WordPress plugin before 1.7.31 does not perform authorization checks before returning calendar-account configuration in a response, allowing unauthenticated users to disclose sensitive settings including the administrator's notification email addresses.
📍 영향받는 시스템
Booking Package WordPress plugin version < 1.7.31
⚔️ 공격 벡터
인증되지 않은 사용자가 특정 API 응답을 요청하여 민감한 설정 데이터를 탈취하는 방식
🛡️ 대응 방법
Booking Package 플러그인을 최신 버전인 1.7.31 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 booking-package의 버전이 1.7.31 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'booking-package'