🇰🇷 한글 설명
KiviCare WordPress 플러그인 4.5.2 미만 버전에서 요청 사용자의 데이터 소유권을 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증된 환자 권한을 가진 사용자가 다른 환자의 청구서, 송장 및 예약 세부 정보를 읽을 수 있습니다.
💡 쉬운 설명
로그인한 환자가 다른 환자의 개인적인 결제 내역이나 예약 정보를 몰래 훔쳐볼 수 있는 보안 결함입니다. 권한 확인 절차가 제대로 이루어지지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
The KiviCare WordPress plugin before 4.5.2 does not verify that the requesting user owns the records being accessed, allowing authenticated patient-level users to read other patients' bills, invoices and appointment details.
📍 영향받는 시스템
KiviCare WordPress plugin version < 4.5.2
⚔️ 공격 벡터
인증된 환자 계정을 이용한 권한 없는 데이터 접근 (Broken Access Control)
🛡️ 대응 방법
KiviCare WordPress 플러그인을 4.5.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 kivicare 플러그인의 버전이 4.5.2 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'kivicare'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access