🇰🇷 한글 설명
WordPress용 LatePoint 예약 플러그인 5.6.3 이하 버전에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 공격자가 에이전트 이상의 권한을 가질 경우, 검증되지 않은 키를 사용하여 다른 에이전트의 예약 정보 및 고객 개인정보(이름, 이메일, 전화번호 등)를 열람하거나 임의의 예약을 삭제할 수 있습니다. 이 취약점은 관리자가 설정에서 Abilities API 토글을 활성화했을 때만 악용 가능합니다.
💡 쉬운 설명
예약 관리 플러그인의 보안 허점으로 인해, 권한이 있는 사용자가 다른 사람의 예약 내역을 몰래 보거나 마음대로 삭제할 수 있는 문제입니다. 고객의 이름이나 연락처 같은 개인정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The LatePoint – Calendar Booking Plugin for Appointments and Events plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 5.6.3 via the LatePointAbilityDeleteBooking::execute due to missing validation on a user controlled key. This makes it possible for attackers, with LatePoint Agent-level access and above, to read bookings and customer PII (full name, email, phone, and notes) assigned to other LatePoint agents, and delete arbitrary bookings by supplying any booking ID. This vulnerability is only exploitable when an administrator has enabled the Abilities API toggles (latepoint_abilities_api, latepoint_abilities_api_delete, and/or latepoint_abilities_api_edit) in the plugin settings.
📍 영향받는 시스템
LatePoint – Calendar Booking Plugin for WordPress (버전 5.6.3 및 그 이하 모든 버전)
⚔️ 공격 벡터
LatePoint 에이전트 이상의 권한을 가진 사용자가 조작된 예약 ID를 사용하여 API 요청을 전송
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, 플러그인 설정에서 Abilities API 관련 토글(latepoint_abilities_api 등)을 비활성화하십시오.
🔧 검증 코드
출력된 결과에서 LatePoint 플러그인의 버전을 확인하여 5.6.3 이하인지 체크하십시오.
wp plugin list --status=active | grep -i 'latepoint'