🇰🇷 한글 설명
Simply Schedule Appointments WordPress 플러그인 1.6.12.17 이전 버전에서 REST API 엔드포인트의 권한 제한 미흡으로 인해 정보 노출 취약점이 발견되었습니다. 이를 통해 낮은 권한을 가진 스태프 사용자가 다른 등록된 사용자의 이름과 이메일 주소를 무단으로 조회할 수 있습니다.
💡 쉬운 설명
플러그인의 보안 설정 오류로 인해 권한이 낮은 직원이 다른 사용자의 개인정보를 몰래 볼 수 있는 문제입니다. 이름과 이메일 주소가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The Simply Schedule Appointments WordPress plugin before 1.6.12.17 does not restrict the user records returned by some of its REST endpoints to those the requester is entitled to see, allowing users with a low-privileged staff role to disclose the names and email addresses of arbitrary registered users.
📍 영향받는 시스템
Simply Schedule Appointments WordPress plugin version < 1.6.12.17
⚔️ 공격 벡터
낮은 권한을 가진 스태프 계정으로 REST API 엔드포인트에 접근하여 사용자 정보 요청
🛡️ 대응 방법
Simply Schedule Appointments 플러그인을 1.6.12.17 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 버전을 확인하여 1.6.12.17 미만인지 체크하십시오.
wp plugin list --status=active | grep -i 'simply-schedule-appointments'