🇰🇷 한글 설명
My Calendar 워드프레스 플러그인 3.7.6 버전 이하에서 인증 없는 AJAX 엔드포인트가 parse_str()을 통해 사용자 입력을 검증 없이 처리하여, Multisite 환경에서 임의의 서브사이트 캘린더 이벤트 추출 또는 Single Site에서 DoS 공격이 가능합니다.
💡 쉬운 설명
워드프레스 My Calendar 플러그인에 보안 검증이 없는 입구가 있어서, 누구나 다른 사이트의 일정 정보를 몰래 볼 수 있거나 서비스를 중단시킬 수 있습니다. 버전 3.7.7에서 수정되었습니다.
🇺🇸 원문 (English)
My Calendar is a WordPress plugin for managing calendar events. In versions 3.7.6 and below, the mc_ajax_mcjs_action AJAX endpoint, registered for unauthenticated users, passes user-supplied arguments through parse_str() without validation, allowing injection of arbitrary parameters including a site value. On WordPress Multisite installations, this enables an unauthenticated attacker to call switch_to_blog() with an arbitrary site ID and extract calendar events from any sub-site on the network, including private or hidden events. On standard Single Site installations, switch_to_blog() does not exist, causing an uncaught PHP fatal error and crashing the worker thread, creating an unauthenticated denial of service vector. This issue has been fixed in version 3.7.7.
📍 영향받는 시스템
My Calendar WordPress plugin ≤ 3.7.6
⚔️ 공격 벡터
Unauthenticated AJAX endpoint (mc_ajax_mcjs_action) with unsanitized parse_str() parameter injection to call switch_to_blog()
🛡️ 대응 방법
My Calendar 플러그인을 3.7.7 이상으로 업데이트
🔧 검증 코드
My Calendar 플러그인의 설치 여부와 버전을 확인하여, 3.7.6 이하인 경우 즉시 업데이트 필요
wp plugin list | grep -i 'my-calendar' || echo 'Plugin not installed'