🇰🇷 한글 설명
Modern Events Calendar Lite WordPress 플러그인 7.37.0 미만 버전에서 권한, 논스 또는 소유권 확인 절차가 누락되었습니다. 이로 인해 구독자를 포함한 모든 인증된 사용자가 사이트 내 모든 예약의 이름, 이메일 주소, 거래 ID 및 결제 금액을 노출할 수 있습니다.
💡 쉬운 설명
로그인만 하면 누구나 다른 사람들의 예약 정보와 개인정보를 몰래 볼 수 있는 보안 결함입니다. 이름, 이메일, 결제 금액 같은 민감한 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The Modern Events Calendar Lite WordPress plugin before 7.37.0 does not perform capability, nonce, or ownership checks before returning event booking and attendee data, allowing any authenticated user, including Subscribers, to disclose the names, email addresses, transaction IDs and payment amounts of every booking on the site.
📍 영향받는 시스템
Modern Events Calendar Lite WordPress plugin version < 7.37.0
⚔️ 공격 벡터
인증된 사용자(구독자 포함)가 적절한 권한 검증 없이 API를 호출하여 데이터 탈취
🛡️ 대응 방법
Modern Events Calendar Lite 플러그인을 7.37.0 이상 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 7.37.0 미만인지 체크하십시오.
wp plugin list --status=active | grep -i 'modern-events-calendar-lite'