🇰🇷 한글 설명
The Events Calendar WordPress 플러그인 6.17.5 미만 버전에서 REST API 쓰기 경로에 대한 객체별 권한 확인이 누락되었습니다. 이로 인해 기여자(Contributor)와 같은 낮은 권한을 가진 사용자가 다른 사용자의 기록을 수정, 게시 취소, 휴지통 이동 및 소유권을 탈취할 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 관리자의 글이나 일정을 마음대로 수정하거나 삭제할 수 있는 보안 결함입니다. 누구나 다른 사람의 데이터를 조작할 수 있어 데이터 무결성이 위협받을 수 있습니다.
🇺🇸 원문 (English)
The Events Calendar WordPress plugin before 6.17.5 does not perform a per-object capability check on one family of its REST write routes, allowing users with a low-privilege role such as contributor to modify, unpublish, trash and take ownership of records belonging to other users, including administrators.
📍 영향받는 시스템
The Events Calendar WordPress plugin version < 6.17.5
⚔️ 공격 벡터
권한이 낮은 계정으로 인증된 상태에서 취약한 REST API 엔드포인트에 조작된 요청을 전송
🛡️ 대응 방법
The Events Calendar 플러그인을 최신 버전인 6.17.5 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 6.17.5보다 낮은지 확인하십시오.
wp plugin list --allow-root | grep 'the-events-calendar'