🇰🇷 한글 설명
Appointment Booking Calendar 및 Scheduling WordPress 플러그인 1.6.3 미만 버전에서 결제 금액 검증 결함이 발견되었습니다. 인증되지 않은 사용자가 실제 결제 금액을 서버에 설정된 가격과 대조하지 않는 점을 악용하여, 예약 비용을 아주 적은 금액만 지불하고도 승인받을 수 있습니다.
💡 쉬운 설명
예약 플러그인이 실제 낸 돈이 맞는지 제대로 확인하지 않는 보안 약점이 있습니다. 이를 통해 해커는 아주 적은 금액만 내고도 비싼 예약 서비스를 정상적으로 이용할 수 있습니다.
🇺🇸 원문 (English)
The Appointment Booking Calendar Plugin and Scheduling Plugin WordPress plugin before 1.6.3 does not verify the amount actually paid against the server-side price staged for a booking when confirming an online payment, allowing unauthenticated users to have a paid appointment approved for a fraction of its price.
📍 영향받는 시스템
WordPress Appointment Booking Calendar Plugin 및 Scheduling Plugin 1.6.3 미만 버전
⚔️ 공격 벡터
인증되지 않은 사용자가 결제 단계에서 서버의 가격 검증 로직을 우회하여 낮은 금액으로 결제 요청을 전송
🛡️ 대응 방법
해당 플러그인을 최신 버전인 1.6.3 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 현재 설치된 플러그인 버전이 1.6.3 미만으로 표시되면 취약한 상태입니다.
wp plugin list --name appointment-booking-calendar | grep -E '1\[\.\]6\.[0-5]'