🇰🇷 한글 설명
Online Scheduling and Appointment Booking System WordPress 플러그인 28.2 미만 버전에서 인증되지 않은 사용자가 AI 예약 어시스턴트 대화 소유권을 검증하지 못하는 취약점이 발견되었습니다. 이를 통해 공격자는 다른 방문자의 대화 내용을 읽거나 진행 중인 대화에 메시지를 삽입할 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인이 다른 사람과 AI 상담원이 나누는 대화 내용을 몰래 훔쳐보거나 가짜 메시지를 보낼 수 있는 문제입니다. 개인적인 예약 정보나 대화 내용이 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The Online Scheduling and Appointment Booking System WordPress plugin before 28.2 does not verify that the requester owns the AI booking-assistant conversation named in its unauthenticated conversation actions, allowing any unauthenticated visitor to read another visitor's assistant messages and to inject messages into their in-progress conversation.
📍 영향받는 시스템
Online Scheduling and Appointment Booking System WordPress plugin version < 28.2
⚔️ 공격 벡터
인증되지 않은 상태에서 조작된 대화 액션 요청을 통해 타인의 대화 세션에 접근
🛡️ 대응 방법
해당 WordPress 플러그인을 최신 버전(28.2 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 28.2 미만인지 확인하여 취약 여부를 판단합니다.
wp plugin list --status=active | grep -i 'online-scheduling-appointment-booking' | awk '{print $2}'