🔍 CVE-2026-121380

5.3
CVSS Score
MEDIUM
2026-11-07
2026-11-07 19:17
✅ 완료

🇰🇷 한글 설명

Tournamatch WordPress 플러그인 4.7.1 이전 버전은 팀 초대 목록에 대한 접근 제한이 없습니다. 이로 인해 인증되지 않은 사용자도 팀에 초대된 사람들의 이메일 주소를 조회할 수 있습니다.

💡 쉬운 설명

워드프레스 대회 관리 플러그인에 접근 권한 확인이 빠져 있어 로그인하지 않은 누구나 팀 초대 명단을 볼 수 있습니다. 그 명단에는 초대받은 사람들의 이메일 주소가 포함되어 있습니다.

🇺🇸 원문 (English)

The Tournamatch WordPress plugin before 4.7.1 does not restrict access to its team invitation listing, allowing unauthenticated users to retrieve the email addresses of people invited to join teams.

📍 영향받는 시스템

Tournamatch WordPress 플러그인 4.7.1 미만 버전

⚔️ 공격 벡터

인증 없이 플러그인의 팀 초대 목록 기능에 접근해 등록된 이메일 주소를 수집

🛡️ 대응 방법

Tournamatch 플러그인을 4.7.1 이상으로 업데이트하고, 업데이트가 어려우면 해당 플러그인을 비활성화합니다.

🔧 검증 코드

출력된 Version 값이 4.7.1 미만이면 취약하며, 아무 결과도 나오지 않으면 해당 플러그인이 설치되지 않은 것입니다.

Shell / Script 
ls -d /var/www/*/wp-content/plugins/tournamatch* ~/public_html/wp-content/plugins/tournamatch* 2>/dev/null | xargs -I{} grep -m1 -i 'Version:' {}/tournamatch.php 2>/dev/null

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

💻 영향받는 소프트웨어

Teams WordPress