🇰🇷 한글 설명
WordPress용 Hydra Booking 플러그인 1.2.1 이하 버전에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 인증된 공격자가 예약 ID를 변경함으로써 다른 호스트의 예약 정보, 개인정보, 결제 내역 및 내부 메모를 무단으로 조회할 수 있습니다.
💡 쉬운 설명
플러그인을 사용하는 권한이 있는 사용자가 숫자 번호만 바꿔 입력하면 다른 사람의 예약 정보와 개인정보를 몰래 훔쳐볼 수 있는 문제입니다. 예약 번호를 하나씩 바꿔가며 입력하는 방식으로 다른 사람의 데이터를 모두 확인할 수 있습니다.
🇺🇸 원문 (English)
The Hydra Booking – Appointment Scheduling & Booking Calendar plugin for WordPress is vulnerable to Insecure Direct Object Reference in versions up to, and including, 1.2.1 via the /wp-json/hydra-booking/v1/booking/details/{id} REST endpoint. This is due to the getBookingDetails() callback only enforcing the tfhb_manage_options capability via tfhb_manage_options_permission(), without verifying that the requested booking belongs to the currently authenticated host (the lookup in getBookingDetailsData() filters solely on the booking id supplied in the URL). This makes it possible for authenticated attackers, with Hydra Host-level access and above (a role created by the plugin which grants tfhb_manage_options), to view sensitive booking records belonging to other hosts, including attendee names, emails, phone numbers, addresses, meeting details, payment method and status, transaction history, and internal notes by iterating booking IDs.
📍 영향받는 시스템
Hydra Booking – Appointment Scheduling & Booking Calendar plugin (버전 1.2.1 이하)
⚔️ 공격 벡터
인증된 공격자가 REST API 엔드포인트의 예약 ID 파라미터를 순차적으로 변경하여 타인의 데이터에 접근
🛡️ 대응 방법
플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하거나, 요청된 예약 데이터가 현재 사용자의 소유인지 검증하는 로직을 추가해야 합니다.
🔧 검증 코드
명령어 결과에 hydra-booking이 나타나면 해당 플러그인이 설치된 것이며, 설치된 버전을 확인하여 1.2.1 이하인지 점검해야 합니다.
wp plugin list --status=active | grep -i 'hydra-booking'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access