🇰🇷 한글 설명
WordPress용 Appointment Booking Calendar 플러그인의 1.4.05 이하 모든 버전에는 'vs_text_submitbtn' 매개변수에서 입력값 검증과 출력 이스케이프가 부족해 저장형 XSS 취약점이 존재합니다. 인증된 공격자(기본적으로 Subscriber 이상, 기본 설정에서는 Editor 이상)가 악성 스크립트를 삽입하면, 해당 페이지를 방문하는 사용자의 브라우저에서 스크립트가 실행됩니다.
💡 쉬운 설명
웹사이트에 예약 기능을 제공하는 플러그인의 보안 결함으로, 로그인한 일반 사용자가 페이지에 악성 코드를 숨길 수 있습니다. 이 코드는 다른 방문자가 해당 페이지를 열 때 실행되어 정보 탈취 등에 악용될 수 있습니다.
🇺🇸 원문 (English)
The Appointment Booking Calendar plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'vs_text_submitbtn' parameter in all versions up to, and including, 1.4.05 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires the attacker to be assigned as a calendar owner, a per-user grant that any administrator can extend to users as low as Subscriber level through the plugin's calendar list screen. Exploitation by attackers with subscriber-level access and above requires that an administrator has assigned the attacker's account as owner (`conwer`) of a calendar via the plugin's calendar list screen; the plugin's UI lists all registered users regardless of role, so a Subscriber can be assigned. On a default installation, where that is not configured, the vulnerability requires attackers with editor-level access and above.
📍 영향받는 시스템
WordPress Appointment Booking Calendar 플러그인 1.4.05 및 그 이하 모든 버전
⚔️ 공격 벡터
Subscriber 이상 권한의 인증된 사용자가 캘린더 소유자로 지정된 상태에서 'vs_text_submitbtn' 매개변수에 악성 스크립트를 삽입해 저장시킴
🛡️ 대응 방법
플러그인을 1.4.05 이후의 패치된 버전으로 업데이트하고, 불필요한 캘린더 소유자 지정을 해제하며, 신뢰할 수 없는 사용자의 권한을 최소화
🔧 검증 코드
출력된 버전이 1.4.05 이하이면 취약하므로 패치가 필요하며, 1.4.05보다 높은 버전이면 이 CVE의 영향을 받지 않습니다.
wp plugin list --name=appointment-booking-calendar --field=version 2>/dev/null || grep -i 'Version' wp-content/plugins/appointment-booking-calendar/*.php 2>/dev/null | head -n 3