🇰🇷 한글 설명
WordPress의 Simply Schedule Appointments Booking Plugin 1.6.12.10 이하 버전에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 인증된 기여자(Contributor) 권한 이상의 공격자가 검증되지 않은 키를 통해 타인의 예약 기록에 접근하고, 포함된 소유권 토큰을 탈취하여 고객의 개인정보(이름, 이메일, 전화번호 등)를 읽거나 수정할 수 있습니다.
💡 쉬운 설명
웹사이트 관리 권한이 낮은 사용자가 다른 사람의 예약 정보를 몰래 훔쳐보거나 내용을 바꿀 수 있는 보안 결함입니다. 이를 통해 고객의 이름이나 전화번호 같은 소중한 개인정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 1.6.12.10 via the ssa_past_appointments due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with contributor-level access and above, to access appointment records belonging to arbitrary users and harvest the per-appointment ownership tokens (32-character hashes) embedded in the rendered HTML, which can then be used without any authentication to read or modify those appointments including full customer PII such as name, email, phone number, and private notes. The /wp-json/ssa/v1/render-shortcode REST endpoint is registered unconditionally on rest_api_init regardless of whether the Divi theme is installed, and its permission callback only requires current_user_can('edit_posts'), meaning any Contributor-level account is sufficient to trigger this entire exploit chain.
📍 영향받는 시스템
Simply Schedule Appointments Booking Plugin (WordPress) 1.6.12.10 및 그 이전 모든 버전
⚔️ 공격 벡터
인증된 기여자 권한을 가진 공격자가 REST API 엔드포인트를 통해 조작된 키를 전송하여 타인의 예약 데이터 및 소유권 토큰 탈취
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 1.6.12.10 이하인지 체크합니다.
wp plugin list --status=active | grep -E 'simply-schedule-appointments'