🇰🇷 한글 설명
Booking for Appointments and Events Calendar WordPress 플러그인 2.4.7 미만 버전에서 인증 없이 대기 중인 알림 큐를 처리할 수 있는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 대기 중인 알림 및 통합 콜백의 발송을 강제로 실행할 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인도 예약 관련 알림 메시지를 강제로 보내게 만들 수 있는 보안 약점입니다. 이로 인해 시스템에 불필요한 알림이 대량으로 발생하거나 외부 서비스와의 연동 과정에서 문제가 생길 수 있습니다.
🇺🇸 원문 (English)
The Booking for Appointments and Events Calendar WordPress plugin before 2.4.7 does not require authentication before processing its pending notification queue, allowing an unauthenticated user to force the dispatch of queued notifications and integration callbacks.
📍 영향받는 시스템
Booking for Appointments and Events Calendar WordPress plugin version < 2.4.7
⚔️ 공격 벡터
인증되지 않은 사용자가 특정 엔드포인트에 요청을 보내 대기 중인 알림 큐 처리를 강제 실행
🛡️ 대응 방법
해당 플러그인을 최신 버전인 2.4.7 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 플러그인 이름이 나타나면 2.4.7 미만 버전이 설치되어 취약한 상태임을 의미합니다.
wp plugin list --name booking-for-appointments-and-events-calendar --format=csv | grep -v '2.4.7'