🇰🇷 한글 설명
Booking for Appointments and Events Calendar WordPress 플러그인 9.8 미만 버전에서 발생하는 취약점입니다. 인증된 직원(provider)이 자신의 계정이 아닌 다른 직원의 계정 정보를 업데이트할 수 있는 권한 검증 미흡 문제가 존재합니다. 이를 통해 공격자는 다른 직원의 비밀번호를 덮어쓰고 해당 계정을 탈취할 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 직원이 다른 직원의 비밀번호를 마음대로 바꿀 수 있는 보안 결함입니다. 이를 이용하면 다른 사람의 계정을 가로채서 관리자 권한을 얻을 수 있습니다.
🇺🇸 원문 (English)
The Booking for Appointments and Events Calendar WordPress plugin before 9.8 does not verify that an authenticated employee (provider) owns the provider account being updated, allowing any employee with an Employee Panel login to overwrite another employee's cabinet password and take over their account.
📍 영향받는 시스템
Booking for Appointments and Events Calendar WordPress plugin version < 9.8
⚔️ 공격 벡터
인증된 직원이 권한 검증이 없는 API 또는 업데이트 기능을 호출하여 타인의 비밀번호를 변경
🛡️ 대응 방법
WordPress 플러그인을 최신 버전(9.8 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 이름의 버전을 확인하여 9.8 미만인지 체크하십시오.
wp plugin list --status=active | grep -i 'booking-for-appointments-and-events-calendar' | awk '{print $2}'