🇰🇷 한글 설명
Quick Event Manager WordPress 플러그인 9.19 이전 버전은 캘린더 내보내기 기능을 통해 게시물 정보를 반환하기 전에 요청된 게시물의 상태(status)나 유형(type)을 검증하지 않습니다. 이로 인해 인증되지 않은 사용자가 초안(draft) 및 비공개(private) 게시물의 내용을 열람할 수 있습니다.
💡 쉬운 설명
이 취약점은 로그인하지 않은 사람도 워드프레스 사이트에 아직 공개되지 않은 임시 글과 비공개 글을 볼 수 있게 만듭니다. 관리자가 작성 중이거나 숨겨둔 내용이 외부에 노출될 수 있습니다.
🇺🇸 원문 (English)
The Quick Event Manager WordPress plugin before 9.19 does not verify the status or type of the requested post before returning its details through a calendar export, allowing unauthenticated users to read the content of draft and private posts.
📍 영향받는 시스템
Quick Event Manager WordPress 플러그인 9.19 미만 버전
⚔️ 공격 벡터
인증 없이 캘린더 내보내기 요청에 게시물 ID를 지정해 초안·비공개 게시물의 상세 정보를 조회
🛡️ 대응 방법
Quick Event Manager 플러그인을 9.19 이상 버전으로 업데이트하거나, 취약 시 플러그인을 비활성화
🔧 검증 코드
출력된 버전이 9.19보다 작으면 취약한 상태이므로 즉시 업데이트가 필요하고, 9.19 이상이면 패치가 적용된 상태입니다.
wp plugin get quick-event-manager --field=version 2>/dev/null || grep -m1 "Version:" wp-content/plugins/quick-event-manager/*.php 2>/dev/null