🇰🇷 한글 설명
Hydra Booking — Appointment Scheduling & Booking Calendar WordPress 플러그인 1.2.2 미만 버전에서 예약 수정 및 삭제 시 사용자 권한 검증이 누락되었습니다. 이로 인해 예약 제공자 권한을 가진 사용자가 동일 사이트 내 다른 제공자의 예약을 취소하거나 영구적으로 삭제할 수 있습니다.
💡 쉬운 설명
예약 관리 플러그인에서 본인의 예약인지 확인하는 절차가 부족하여 발생하는 문제입니다. 이로 인해 다른 관리자가 등록한 예약을 마음대로 지울 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
The Hydra Booking — Appointment Scheduling & Booking Calendar WordPress plugin before 1.2.2 does not verify that a booking belongs to the requesting user before modifying or deleting it on two of its booking endpoints, allowing a booking-provider-level user to cancel and permanently delete other providers' bookings on the same site.
📍 영향받는 시스템
Hydra Booking — Appointment Scheduling & Booking Calendar WordPress plugin 1.2.2 미만 버전
⚔️ 공격 벡터
권한이 있는 사용자가 조작된 요청을 통해 타인의 예약 엔드포인트에 접근하여 삭제 명령 수행
🛡️ 대응 방법
Hydra Booking 플러그인을 최신 버전인 1.2.2 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인 이름과 1.2.2 미만의 버전 번호가 나타나면 취약한 상태입니다.
wp plugin list --name hydra-booking --format=csv | grep -E 'hydra-booking,1\[0-1]\.[0-9]+'