🇰🇷 한글 설명
KiviCare WordPress 플러그인 4.5.4 이전 버전에서 요청 사용자의 미디어 파일 접근 권한을 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증된 환자 권한의 사용자가 다른 환자의 의료 보고서를 포함하여 미디어 라이브러리의 모든 파일을 다운로드할 수 있습니다.
💡 쉬운 설명
로그인한 환자가 권한이 없는 다른 환자의 의료 기록이나 파일을 마음대로 내려받을 수 있는 보안 결함입니다. 개인 정보가 담긴 중요한 문서가 외부로 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The KiviCare WordPress plugin before 4.5.4 does not verify that the requesting user is entitled to the media file being served, allowing authenticated patient-level users to download any file in the media library, including other patients' uploaded medical reports.
📍 영향받는 시스템
KiviCare WordPress plugin version < 4.5.4
⚔️ 공격 벡터
인증된 사용자(환자 권한)가 권한 검증 없이 미디어 파일 URL에 직접 접근하여 다운로드
🛡️ 대응 방법
KiviCare WordPress 플러그인을 최신 버전인 4.5.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 kivicare 플러그인의 버전이 4.5.4 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'kivicare'