🇰🇷 한글 설명
Simply Schedule Appointments WordPress 플러그인 1.6.12.11 이전 버전에서 관리자용 예약 목록 쇼트코드에 대한 권한 확인이 누락되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 사이트 전체 고객의 이름, 이메일, 전화번호 및 메모를 포함한 모든 예약 기록을 열람할 수 있습니다.
💡 쉬운 설명
웹사이트의 낮은 권한을 가진 사용자도 관리자만 봐야 하는 고객의 개인정보와 예약 내역을 모두 볼 수 있는 보안 결함입니다. 고객의 이름과 연락처 같은 민감한 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The Simply Schedule Appointments WordPress plugin before 1.6.12.11 does not perform a capability check on an administrative appointment-listing shortcode, and its per-user result scoping fails open for non-staff users, allowing users with the Contributor role and above to disclose all customers' appointment records, including names, email addresses, phone numbers and notes, across the whole site.
📍 영향받는 시스템
Simply Schedule Appointments WordPress plugin version < 1.6.12.11
⚔️ 공격 벡터
권한이 낮은 사용자(Contributor 이상)가 관리자용 쇼트코드를 통해 데이터에 접근하는 방식
🛡️ 대응 방법
Simply Schedule Appointments 플러그인을 1.6.12.11 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.6.12.11보다 낮은지 확인하십시오.
wp plugin list --name simply-schedule-appointments --format=json | grep -oP '(?<=version\":\)"[^"]+'