🇰🇷 한글 설명
Eventin WordPress 플러그인 4.1.21 미만 버전에서 이벤트 소유권 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 관리자를 포함한 다른 사용자의 이벤트를 수정, 삭제 또는 소유권을 탈취할 수 있습니다.
💡 쉬운 설명
플러그인의 보안 허점으로 인해 일반 사용자가 다른 사람이 만든 일정을 마음대로 바꾸거나 지울 수 있는 문제입니다. 심지어 관리자가 만든 중요한 일정까지 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
The Eventin WordPress plugin before 4.1.21 does not properly verify ownership of events before allowing them to be modified, deleted, or reassigned to a different author, allowing users with contributor-level access and above to alter, delete, or take over events created by other users including administrators.
📍 영향받는 시스템
Eventin WordPress plugin version < 4.1.21
⚔️ 공격 벡터
권한이 낮은 사용자가 이벤트 수정/삭제 API 요청을 통해 소유권 검증을 우회하여 공격
🛡️ 대응 방법
Eventin WordPress 플러그인을 최신 버전인 4.1.21 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 eventin 플러그인의 버전을 확인하여 4.1.21 미만인지 체크하십시오.
wp plugin list --status=active | grep -i 'eventin'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access