🇰🇷 한글 설명
Booking for Appointments and Events Calendar WordPress 플러그인 9.7 미만 버전에서 인증된 직원이 고객 데이터에 접근할 때 권한 검증이 누락되는 취약점이 발견되었습니다. 이로 인해 권한이 있는 직원이 순차적인 식별자를 열거하여 다른 고객의 개인정보를 읽거나 수정할 수 있습니다.
💡 쉬운 설명
플러그인을 사용하는 직원이 자신의 담당 고객이 아닌 다른 고객의 정보까지 마음대로 보고 고칠 수 있는 보안 결함입니다. 공격자가 고객 번호를 하나씩 바꿔가며 입력하면 모든 고객의 개인정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
The Booking for Appointments and Events Calendar WordPress plugin before 9.7 does not verify that an authenticated employee (provider) is related to the customer whose record is being accessed, allowing any employee with an Employee Panel login to read and modify the stored personal data of any customer by enumerating sequential identifiers.
📍 영향받는 시스템
Booking for Appointments and Events Calendar WordPress plugin version < 9.7
⚔️ 공격 벡터
인증된 직원이 순차적인 고객 식별자(ID)를 열거(Enumeration)하여 비인가 데이터에 접근
🛡️ 대응 방법
해당 플러그인을 최신 버전(9.7 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 9.7 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'booking-for-appointments-and-events-calendar'