🇰🇷 한글 설명
Advanced Appointment Booking & Scheduling WordPress 플러그인 2.7 이전 버전은 공개된 숏코드를 통해 계정을 생성할 때 사이트의 사용자 등록 설정을 확인하지 않습니다. 이로 인해 인증되지 않은 공격자가 사용자 등록이 비활성화된 사이트에서도 임의의 계정을 만들고 자동으로 로그인될 수 있습니다.
💡 쉬운 설명
이 취약점을 이용하면 회원가입이 막혀 있는 웹사이트에서도 누구나 몰래 계정을 만들 수 있습니다. 만들어진 계정으로 사이트에 로그인해 권한을 얻을 수 있어 주의가 필요합니다.
🇺🇸 원문 (English)
The Advanced Appointment Booking & Scheduling WordPress plugin before 2.7 does not verify the site's user-registration setting before creating accounts through a publicly accessible shortcode, allowing unauthenticated attackers to register arbitrary user accounts, and be automatically logged in, even when user registration is disabled on the site.
📍 영향받는 시스템
Advanced Appointment Booking & Scheduling WordPress 플러그인 2.7 미만 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 공개된 숏코드를 통해 사용자 등록 설정과 무관하게 계정을 생성하고 자동 로그인합니다.
🛡️ 대응 방법
플러그인을 2.7 이상 버전으로 업데이트하고, 업데이트 전까지는 해당 플러그인을 비활성화하거나 제거합니다.
🔧 검증 코드
출력된 버전 번호가 2.7 미만이면 취약한 버전이며, 결과가 없으면 해당 플러그인이 설치되어 있지 않은 것입니다.
wp plugin list --name=advanced-appointment-booking-scheduling --field=version 2>/dev/null || grep -rh "Version:" /var/www/*/wp-content/plugins/advanced-appointment-booking-scheduling/*.php 2>/dev/null | head -1