🇰🇷 한글 설명
TrueBooker WordPress 플러그인 1.2.7 미만 버전에서 일부 AJAX 작업에 대한 적절한 권한 확인이 이루어지지 않습니다. 이로 인해 인증되지 않은 사용자가 예약 고객의 이름, 이메일, 전화번호, 주소 등 개인정보를 탈취할 수 있습니다.
💡 쉬운 설명
예약 관리 플러그인의 보안 허점으로 인해, 로그인을 하지 않은 외부인도 고객의 이름과 연락처 같은 개인정보를 몰래 볼 수 있는 문제입니다. 개인정보 유출 사고로 이어질 수 있어 주의가 필요합니다.
🇺🇸 원문 (English)
The TrueBooker WordPress plugin before 1.2.7 does not have proper authorisation checks in some of its AJAX actions, allowing unauthenticated users to retrieve the personal information of customers who booked an appointment, including their name, email address, phone number and postal address.
📍 영향받는 시스템
TrueBooker WordPress plugin version < 1.2.7
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 AJAX 요청을 통해 고객 데이터에 접근
🛡️ 대응 방법
TrueBooker WordPress 플러그인을 최신 버전(1.2.7 이상)으로 업데이트
🔧 검증 코드
출력된 결과에서 truebooker의 버전이 1.2.7 미만인지 확인
wp plugin list --allow-root | grep -E 'truebooker'