🇰🇷 한글 설명
Rox Appointment Booking WordPress 플러그인 1.2.0 미만 버전에서 휴일 일정을 저장할 때 권한 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 공격자가 예약 불가 날짜를 임의로 수정하여 정상적인 예약을 차단하거나 의도치 않은 날짜를 개방할 수 있습니다.
💡 쉬운 설명
예약 관리 플러그인의 보안 허점을 이용해 누구나 예약 가능한 날짜를 마음대로 바꿀 수 있는 문제입니다. 공격자가 휴일 설정을 조작하여 예약 시스템을 마비시키거나 혼란을 줄 수 있습니다.
🇺🇸 원문 (English)
The Rox Appointment Booking WordPress plugin before 1.2.0 does not perform any capability or authorization check when saving its holiday schedule, allowing unauthenticated attackers to overwrite the dates the booking system treats as unavailable, which can block legitimate bookings or open dates the site owner intended to keep closed.
📍 영향받는 시스템
Rox Appointment Booking WordPress plugin version < 1.2.0
⚔️ 공격 벡터
인증되지 않은 공격자가 권한 검증 없이 휴일 일정 저장 기능을 호출하여 데이터 조작
🛡️ 대응 방법
Rox Appointment Booking 플러그인을 최신 버전(1.2.0 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 1.2.0 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'rox-appointment-booking'