🇰🇷 한글 설명
Booking Package WordPress 플러그인 1.7.34 이전 버전은 온라인 결제가 필요한 캘린더에서 결제 완료 전에도 예약 저장을 허용합니다. 이로 인해 인증되지 않은 사용자가 결제 없이 확정된 예약을 생성할 수 있습니다.
💡 쉬운 설명
예약 사이트에서 돈을 내지 않고도 예약을 확정할 수 있는 허점이 있습니다. 결제 확인 없이 예약이 저장되어 업체가 금전적 손해를 입을 수 있습니다.
🇺🇸 원문 (English)
The Booking Package WordPress plugin before 1.7.34 does not require payment to be completed before saving a booking on calendars configured to require online payment, allowing unauthenticated users to create confirmed bookings without paying.
📍 영향받는 시스템
Booking Package WordPress 플러그인 1.7.34 미만 버전
⚔️ 공격 벡터
로그인 없이 결제 단계를 건너뛰고 예약 요청을 직접 전송하여 결제 없이 확정 예약을 생성
🛡️ 대응 방법
Booking Package 플러그인을 1.7.34 이상으로 업데이트하거나 결제 완료 전 예약 확정을 막는 서버 측 검증을 추가
🔧 검증 코드
출력된 버전 번호가 1.7.34 미만이면 취약하고, 1.7.34 이상이면 패치된 상태입니다. 명령 결과가 없으면 플러그인 경로를 확인하세요.
grep -i 'Version' /var/www/html/wp-content/plugins/booking-package/booking-package.php 2>/dev/null | head -1