🇰🇷 한글 설명
Hotel Booking WordPress 플러그인 3.8 버전 이하에서 관리자 예약 주문 관리 기능에 CSRF 보호가 구현되지 않았습니다. 이로 인해 공격자는 로그인된 관리자를 속여 위조된 요청을 통해 임의의 예약 주문을 생성, 삭제 또는 수정할 수 있습니다.
💡 쉬운 설명
관리자가 로그인된 상태에서 나쁜 의도가 담긴 링크를 클릭하면, 관리자도 모르게 예약 내역이 마음대로 바뀌거나 삭제될 수 있는 보안 약점입니다. 공격자가 관리자의 권한을 도용하여 시스템 설정을 조작하는 것과 같은 효과를 냅니다.
🇺🇸 원문 (English)
The Hotel Booking WordPress plugin through 3.8 does not implement CSRF protection on its administrative booking order management, allowing attackers to trick a logged-in administrator into creating, deleting, or modifying arbitrary booking order records via a forged request.
📍 영향받는 시스템
Hotel Booking WordPress plugin version 3.8 and below
⚔️ 공격 벡터
로그인된 관리자를 대상으로 한 CSRF(사이트 간 요청 위조) 공격
🛡️ 대응 방법
플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하거나 CSRF 토큰 검증을 구현해야 합니다.
🔧 검증 코드
명령어 결과에 hotel-booking 플러그인이 나타나면 설치된 것이며, 해당 버전이 3.8 이하인지 확인이 필요합니다.
wp plugin list --allow-root | grep -E 'hotel-booking'