🇰🇷 한글 설명
WP Events Manager WordPress 플러그인 2.2.5 미만 버전에서 유료 이벤트 등록 시 요청 수량을 검증하지 않는 취약점이 발견되었습니다. 공격자는 수량을 조작하여 결제 없이도 유료 이벤트 예약을 완료할 수 있습니다.
💡 쉬운 설명
유료 이벤트 예약 시 수량을 마음대로 조작할 수 있는 결함이 있습니다. 이를 통해 돈을 내지 않고도 유료 서비스를 무료로 이용할 수 있습니다.
🇺🇸 원문 (English)
The WP Events Manager WordPress plugin before 2.2.5 does not validate the requested quantity when registering for a paid event and computes the price from the attacker-controlled quantity, allowing any authenticated user to create a completed booking for a paid event without making a payment.
📍 영향받는 시스템
WP Events Manager WordPress plugin version < 2.2.5
⚔️ 공격 벡터
인증된 사용자가 이벤트 예약 요청 시 수량(quantity) 파라미터를 조작하여 결제 금액을 우회함
🛡️ 대응 방법
WP Events Manager 플러그인을 최신 버전(2.2.5 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 events-manager의 버전을 확인하여 2.2.5 미만인지 체크합니다.
wp plugin list --status=active | grep 'events-manager'