🇰🇷 한글 설명
Event Booking Manager for WooCommerce WordPress 플러그인 5.7.3 미만 버전에서 권한 제한 미흡으로 인해 발생합니다. 기여자(Contributor) 이상의 권한을 가진 사용자가 다른 작성자의 비공개, 임시 저장 또는 휴지통에 있는 이벤트 정보를 조회할 수 있는 취약점입니다.
💡 쉬운 설명
플러그인의 권한 설정 오류로 인해, 일반적인 작성 권한만 있는 사용자도 남들이 숨겨놓은 비공개 이벤트 내용을 몰래 볼 수 있는 문제입니다. 이를 통해 공개되지 않아야 할 이벤트 상세 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
The Event Booking Manager for WooCommerce WordPress plugin before 5.7.3 does not restrict its event listing query to events the requesting user is permitted to read, so users with contributor-level access and above can retrieve other authors' private, draft and trashed events, together with event detail the standard listing does not show them. This discloses private events and their content that WordPress withholds from users lacking the read_private_posts capability.
📍 영향받는 시스템
Event Booking Manager for WooCommerce WordPress plugin version < 5.7.3
⚔️ 공격 벡터
기여자(Contributor) 이상의 권한을 가진 계정으로 로그인하여 조작된 쿼리를 통해 비공개 이벤트 데이터에 접근
🛡️ 대응 방법
해당 플러그인을 최신 버전인 5.7.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전이 5.7.3 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'event-booking-manager'