🇰🇷 한글 설명
Booking for Appointments and Events Calendar WordPress 플러그인 2.4.9 미만 버전에서 권한 검증 미흡 취약점이 발견되었습니다. 이로 인해 고객이 자신의 예약 상태를 임의로 변경하거나 다른 고객의 예약 상태를 덮어쓸 수 있습니다.
💡 쉬운 설명
예약 플러그인의 보안 허점으로 인해, 일반 고객이 관리자 승인이 필요한 예약을 스스로 승인하거나 다른 사람의 예약 상태를 마음대로 바꿀 수 있는 문제입니다. 이는 예약 시스템의 신뢰성을 무너뜨릴 수 있습니다.
🇺🇸 원문 (English)
The Booking for Appointments and Events Calendar WordPress plugin before 2.4.9 does not check that a user holds the required capability before letting them change an appointment's status, allowing customers to set arbitrary statuses on appointments they are booked on, including approving their own bookings that were left awaiting approval and overwriting another customer's booking status on a shared appointment.
📍 영향받는 시스템
Booking for Appointments and Events Calendar WordPress plugin version < 2.4.9
⚔️ 공격 벡터
권한이 없는 사용자가 예약 상태 변경 API 또는 요청을 직접 조작하여 전송
🛡️ 대응 방법
해당 플러그인을 최신 버전인 2.4.9 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.4.9보다 낮은지 확인하십시오.
wp plugin list --status=active | grep -i 'booking-for-appointments-and-events-calendar' && wp plugin list --all --format=json | jq -r '.[] | select(.name=="booking-for-appointments-and-events-calendar") | .version'