🇰🇷 한글 설명
The Events Manager WordPress 플러그인 7.4.1 미만 버전에서 사용자 제어 값이 SQL 문에 사용되기 전 적절히 정제되지 않는 취약점이 발견되었습니다. 이를 통해 구독자 이상의 권한을 가진 사용자가 SQL 인젝션 공격을 수행하여 타인의 예약 동의 기록을 조작할 수 있습니다.
💡 쉬운 설명
웹사이트의 예약 관리 플러그인에 보안 구멍이 있어, 일반 회원도 데이터베이스를 조작할 수 있는 위험이 있습니다. 공격자가 다른 사람의 예약 정보를 마음대로 바꾸거나 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
The Events Manager WordPress plugin before 7.4.1 does not sanitise and escape a user-controlled value before using it in a SQL statement, allowing users with a subscriber account and above to perform SQL injection attacks and tamper with booking consent records belonging to other people.
📍 영향받는 시스템
WordPress 'The Events Manager' plugin version < 7.4.1
⚔️ 공격 벡터
SQL Injection (Subscriber level or higher)
🛡️ 대응 방법
The Events Manager 플러그인을 7.4.1 이상 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 the-events-manager의 버전이 7.4.1 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'the-events-manager'