🇰🇷 한글 설명
MotoPress Hotel Booking WordPress 플러그인 6.0.4 미만 버전에서 권한 확인 절차 누락으로 인해 발생합니다. 인증된 저권한 사용자(구독자 이상)가 AJAX 액션을 통해 다른 고객의 이름, 이메일, 전화번호, 주소 등 개인정보를 조회할 수 있습니다.
💡 쉬운 설명
로그인한 일반 사용자가 다른 손님의 이름이나 연락처 같은 개인정보를 몰래 훔쳐볼 수 있는 보안 결함입니다. 호텔 예약 시스템을 사용하는 사이트에서 고객 정보 유출 위험이 있습니다.
🇺🇸 원문 (English)
The MotoPress Hotel Booking WordPress plugin before 6.0.4 does not perform a capability check before returning a booking's full customer details in one of its AJAX actions, allowing any authenticated user with a low-privileged account (Subscriber and above) to read the personal data, including name, email, phone, and address, of any customer.
📍 영향받는 시스템
MotoPress Hotel Booking WordPress plugin version < 6.0.4
⚔️ 공격 벡터
인증된 저권한 계정을 이용한 AJAX 요청을 통한 데이터 탈취
🛡️ 대응 방법
MotoPress Hotel Booking 플러그인을 6.0.4 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 MotoPress Hotel Booking의 버전을 확인하여 6.0.4 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'motopress-hotel-booking'