🇰🇷 한글 설명
The Events Calendar WordPress 플러그인 6.17.3.1 이전 버전에서 공개 REST 아카이브를 통해 비공개 콘텐츠에 대한 접근 제한이 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor)와 같은 낮은 권한을 가진 사용자도 다른 사용자의 미발행 기록을 포함한 모든 비공개 콘텐츠의 전체 내용을 읽을 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 사이트 관리자가 숨겨놓은 글이나 다른 사람의 비공개 글을 몰래 읽을 수 있는 보안 결함입니다. 게시되지 않은 중요한 정보가 외부로 노출될 위험이 있습니다.
🇺🇸 원문 (English)
The Events Calendar WordPress plugin before 6.17.3.1 does not restrict non-public content to the users entitled to read it on its public REST archives, allowing users with a low-privilege role such as contributor to read the full contents of every unpublished record on the site, including other users'.
📍 영향받는 시스템
The Events Calendar WordPress plugin version < 6.17.3.1
⚔️ 공격 벡터
낮은 권한을 가진 사용자가 공개된 REST API 엔드포인트를 통해 비공개 데이터를 요청하여 탈취
🛡️ 대응 방법
The Events Calendar 플러그인을 최신 버전인 6.17.3.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 6.17.3.1 미만인지 확인하십시오.
wp plugin list --status=active | grep 'the-events-calendar' && wp plugin list --all | grep -E 'the-events-calendar' | awk '{print $2 " " $3}'