🇰🇷 한글 설명
Booking for Appointments and Events Calendar WordPress 플러그인 2.4.6 미만 버전에서 인증된 직원(제공자)이 접근하려는 예약 건에 할당되어 있는지 확인하지 않는 취약점이 발견되었습니다. 이로 인해 모든 직원이 예약 식별자를 통해 다른 예약 정보를 읽고 고객의 개인정보를 유출할 수 있습니다.
💡 쉬운 설명
플러그인을 사용하는 직원이라면 자신이 담당하지 않은 다른 직원의 예약 정보와 고객의 개인정보를 몰래 볼 수 있는 보안 결함입니다. 권한 관리가 제대로 이루어지지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
The Booking for Appointments and Events Calendar WordPress plugin before 2.4.6 does not verify that an authenticated employee (provider) is assigned to the appointment being accessed, allowing any employee to read any appointment by its identifier and disclose the booked customer's personal data.
📍 영향받는 시스템
Booking for Appointments and Events Calendar WordPress plugin version < 2.4.6
⚔️ 공격 벡터
인증된 직원이 예약 식별자(ID)를 변경하여 권한이 없는 다른 예약 데이터에 접근
🛡️ 대응 방법
Booking for Appointments and Events Calendar 플러그인을 2.4.6 버전 이상으로 업데이트
🔧 검증 코드
출력된 플러그인 버전이 2.4.6 미만인지 확인하여 취약 여부를 판단합니다.
wp plugin list --status=active | grep -i 'booking-for-appointments-and-events-calendar' | cut -d' ' -f3
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access