🇰🇷 한글 설명
The Events Calendar WordPress 플러그인 6.16.5.1 이전 버전에서 Event Aggregator 가져오기 REST API 경로에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 기존 가져오기 기록을 실패로 표시하거나 숨겨진 댓글 레코드에 임의의 콘텐츠를 저장할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 웹사이트의 이벤트 데이터를 마음대로 조작하거나 몰래 글을 남길 수 있는 보안 약점이 발견되었습니다. 이로 인해 데이터가 잘못 처리되거나 원치 않는 내용이 저장될 위험이 있습니다.
🇺🇸 원문 (English)
The Events Calendar WordPress plugin before 6.16.5.1 does not perform an authorization check on one of its Event Aggregator import REST API routes and skips an integrity check for a particular status value, allowing unauthenticated attackers to mark existing import records as failed and to store arbitrary content in a hidden comment record.
📍 영향받는 시스템
The Events Calendar WordPress plugin version < 6.16.5.1
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 REST API 요청을 통해 취약한 엔드포인트에 접근
🛡️ 대응 방법
The Events Calendar 플러그인을 최신 버전인 6.16.5.1 이상으로 업데이트
🔧 검증 코드
출력된 플러그인 버전이 6.16.5.1 미만인지 확인하여 취약 여부를 판단합니다.
wp plugin list --status=active | grep -E 'the-events-calendar'