🇰🇷 한글 설명
Easy Appointments WordPress 플러그인 3.12.28 이전 버전에서 고객 목록 핸들러에 대한 권한 및 논스(nonce) 검증이 누락되었습니다. 이로 인해 기여자(Contributor) 권한을 가진 인증된 사용자가 저장된 모든 고객의 개인 정보를 읽을 수 있습니다.
💡 쉬운 설명
플러그인의 보안 검사가 부족하여, 낮은 권한을 가진 사용자도 다른 고객들의 개인 정보를 몰래 볼 수 있는 문제입니다. 개인정보 유출 위험이 있으니 주의가 필요합니다.
🇺🇸 원문 (English)
The Easy Appointments WordPress plugin before 3.12.28 does not perform a per-request capability or nonce check on one of its customer-listing handlers, allowing authenticated users with contributor-level access to read every stored customer's personal information.
📍 영향받는 시스템
Easy Appointments WordPress plugin version < 3.12.28
⚔️ 공격 벡터
인증된 기여자 권한을 가진 사용자가 적절한 권한 검증 없이 고객 목록 핸들러에 접근하여 데이터를 탈취함
🛡️ 대응 방법
Easy Appointments 플러그인을 3.12.28 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 3.12.28 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'easy-appointments'