🇰🇷 한글 설명
Hydra Booking — Appointment Scheduling & Booking Calendar WordPress 플러그인 1.2.4 미만 버전에서 객체 수준 권한 확인이 누락되었습니다. 이로 인해 특정 사용자 정의 역할을 가진 사용자가 다른 호스트의 기록과 연결된 WordPress 사용자 계정을 읽고, 수정하고, 영구적으로 삭제할 수 있습니다.
💡 쉬운 설명
플러그인에 권한 설정 오류가 있어, 권한이 낮은 사용자가 다른 사람의 예약 정보나 계정 정보를 마음대로 보고 지울 수 있는 문제입니다. 관리자 권한이 없는 사용자도 다른 사용자의 데이터를 조작할 위험이 있습니다.
🇺🇸 원문 (English)
The Hydra Booking — Appointment Scheduling & Booking Calendar WordPress plugin before 1.2.4 does not perform object-level authorisation checks on several of its host-management operations, allowing users who hold its own administrator-assigned custom role to read, modify and permanently delete other hosts' records and the WordPress user accounts linked to them.
📍 영향받는 시스템
Hydra Booking — Appointment Scheduling & Booking Calendar WordPress plugin version < 1.2.4
⚔️ 공격 벡터
권한이 부여된 사용자 정의 역할을 가진 사용자가 조작된 요청을 통해 다른 호스트의 데이터에 접근
🛡️ 대응 방법
Hydra Booking 플러그인을 최신 버전인 1.2.4 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 플러그인 이름과 함께 1.2.4 미만의 버전 번호가 출력되면 취약한 상태입니다.
wp plugin list --name hydra-booking --format=csv | grep -E 'hydra-booking,.*[0-1]\.[0-1]\.[0-3]'