🇰🇷 한글 설명
WooCommerce용 Event Booking Manager 플러그인 5.3.7 미만 버전에서 권한 검증 미흡 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 자신이 작성하지 않은 임의의 게시물 제목과 발행 상태를 수정할 수 있습니다.
💡 쉬운 설명
낮은 권한을 가진 사용자가 관리자처럼 다른 사람의 글 제목을 바꾸거나 글을 숨길 수 있는 보안 결함입니다. 플러그인의 권한 확인 절차가 제대로 이루어지지 않아 발생합니다.
🇺🇸 원문 (English)
The Event Booking Manager for WooCommerce WordPress plugin before 5.3.7 does not properly verify authorization on the object being modified when quick-editing events, only checking a global capability, allowing users with the Contributor role and above to modify the title and publication status of arbitrary posts and pages on the site, including content they do not own.
📍 영향받는 시스템
Event Booking Manager for WooCommerce WordPress plugin version < 5.3.7
⚔️ 공격 벡터
권한이 낮은 사용자가 이벤트 퀵 에디팅 기능을 악용하여 임의의 게시물 데이터를 전송
🛡️ 대응 방법
Event Booking Manager for WooCommerce 플러그인을 5.3.7 이상 버전으로 즉시 업데이트
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 5.3.7 미만인지 체크
wp plugin list --status=active | grep -E 'event-booking-manager'