🇰🇷 한글 설명
Timetics WordPress 플러그인 1.0.61 이하 버전에서 REST API를 통해 예약 정보를 업데이트할 때 객체 소유권 검증이 이루어지지 않습니다. 이로 인해 특정 직원 권한을 가진 사용자가 다른 직원의 예약을 수정, 비활성화 또는 탈취할 수 있습니다.
💡 쉬운 설명
플러그인에 권한이 있는 직원이 다른 직원이 관리하는 예약 내역을 마음대로 바꾸거나 가져갈 수 있는 보안 결함입니다. 권한 관리가 제대로 되지 않아 데이터의 무결성이 위협받을 수 있습니다.
🇺🇸 원문 (English)
The Timetics WordPress plugin through 1.0.61 does not enforce per-object ownership when updating appointments through its REST API, allowing users with its custom staff role to modify, disable, or take over appointments belonging to other staff members.
📍 영향받는 시스템
Timetics WordPress plugin version 1.0.61 and below
⚔️ 공격 벡터
REST API를 이용한 권한 없는 예약 정보 수정 요청
🛡️ 대응 방법
Timetics 플러그인을 최신 버전으로 업데이트하여 소유권 검증 로직을 적용하십시오.
🔧 검증 코드
출력된 결과에서 timetics 플러그인의 버전을 확인하여 1.0.61 이하인지 체크합니다.
wp plugin list --allow-root | grep -E 'timetics'