🇰🇷 한글 설명
WordPress용 TrueBooker – Appointment Booking and Scheduler System 플러그인의 모든 버전(1.2.3 포함)에서 부적절한 비밀번호 재설정 검증으로 인한 계정 탈취 취약점이 발견되었습니다. 이 취약점은 비밀번호 재설정 전 사용자 신원을 제대로 확인하지 않아 발생하며, 인증되지 않은 공격자가 관리자를 포함한 임의의 사용자 계정 비밀번호를 재설정하고 권한을 획득할 수 있습니다.
💡 쉬운 설명
비밀번호를 바꾸는 과정에서 본인이 맞는지 확인하는 절차가 빠져 있는 보안 결함입니다. 이를 통해 해커가 아무런 로그인 없이 관리자의 비밀번호를 마음대로 바꿔서 사이트를 장악할 수 있습니다.
🇺🇸 원문 (English)
The TrueBooker – Appointment Booking and Scheduler System plugin for WordPress is vulnerable to account takeover via improper password reset validation in all versions up to, and including, 1.2.3. This is due to the plugin not properly validating a user's identity before resetting their password. This makes it possible for unauthenticated attackers to reset the password of arbitrary user accounts, including administrators, and gain access to those accounts.
📍 영향받는 시스템
TrueBooker – Appointment Booking and Scheduler System plugin (v1.2.3 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 비밀번호 재설정 기능을 악용하여 임의의 사용자 계정 탈취
🛡️ 대응 방법
플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하거나 사용 중지
🔧 검증 코드
명령어 결과에 TrueBooker 플러그인이 나타나고 버전이 1.2.3 이하인지 확인하십시오.
wp plugin list --allow-root | grep -i 'truebooker'