🇰🇷 한글 설명
MotoPress Appointment Booking WordPress 플러그인 2.4.8 미만 버전에서 인증되지 않은 공격자가 예약 식별자를 사용하여 타인의 예약을 영구적으로 삭제할 수 있는 취약점이 발견되었습니다. 이는 이전 취약점인 CVE-2026-9180에 대한 불완전한 수정으로, 결제 확인 기능을 사용하는 사이트에서 삭제 기능이 여전히 노출됩니다.
💡 쉬운 설명
로그인을 하지 않은 외부인도 다른 사람이 예약한 내역을 마음대로 삭제할 수 있는 보안 결함입니다. 결제 확인 기능이 켜져 있는 웹사이트에서 특히 위험하며, 예약 데이터가 영구적으로 사라질 수 있습니다.
🇺🇸 원문 (English)
The MotoPress Appointment Booking WordPress plugin before 2.4.8 does not perform an authorization or ownership check when handling a user-supplied booking identifier on an unauthenticated endpoint, allowing unauthenticated attackers to permanently delete other users' reservations. This is an incomplete fix of CVE-2026-9180: the deletion remains reachable on sites using payment confirmation, confirmed through version 2.4.7.
📍 영향받는 시스템
MotoPress Appointment Booking WordPress plugin version < 2.4.8
⚔️ 공격 벡터
인증되지 않은 엔드포인트를 통해 조작된 예약 식별자를 전송하여 삭제 요청 수행
🛡️ 대응 방법
MotoPress Appointment Booking 플러그인을 최신 버전인 2.4.8 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인 이름과 2.4.8 미만의 버전이 출력되면 취약한 상태입니다.
wp plugin list --name motopress-appointment-booking --format=csv | grep -E 'motopress-appointment-booking,[^,]*<2.4.8'