🇰🇷 한글 설명
The Events Manager WordPress 플러그인 7.3.7 미만 버전에서 'No-User-Account Booking Mode' 사용 시 예약 등록 데이터를 안전하게 처리하지 못하는 취약점이 발견되었습니다. 공격자가 입력한 데이터가 역직렬화 과정에서 PHP 객체 주입을 유발하며, 이를 통해 매개변수화되지 않은 데이터베이스 쿼리를 실행하여 사용자 비밀번호 해시와 같은 민감한 정보를 탈취할 수 있습니다.
💡 쉬운 설명
예약 시스템의 입력값을 검증하지 않아 해커가 가짜 데이터를 심어 넣을 수 있는 문제입니다. 이를 통해 해커는 웹사이트의 중요한 비밀번호나 데이터베이스 정보를 몰래 읽어갈 수 있습니다.
🇺🇸 원문 (English)
The Events Manager WordPress plugin before 7.3.7 does not safely handle booking-registration data on sites using No-User-Account Booking Mode: a booker-supplied registration field is stored as booking meta and later deserialized without restricting allowed classes, enabling PHP object injection. The resulting gadget chain reaches a database query that is built without parameterisation, so an unauthenticated attacker can read arbitrary database data (e.g. user password hashes, secret keys) when the booking is later loaded.
📍 영향받는 시스템
WordPress plugin 'The Events Manager' version 7.3.7 미만
⚔️ 공격 벡터
비인증 공격자가 예약 등록 필드에 조작된 데이터를 입력하여 PHP 객체 주입 및 SQL 인젝션을 유발
🛡️ 대응 방법
The Events Manager 플러그인을 최신 버전인 7.3.7 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 'events-manager'의 버전을 확인하여 7.3.7 미만인지 체크하십시오.
wp plugin list --status=active | grep -i 'events-manager'