🇰🇷 한글 설명
TrueBooker WordPress 플러그인 1.3.0 미만 버전에서 설정 핸들러에 대한 권한 확인 절차가 누락되었습니다. 인증되지 않은 방문자에게도 토큰이 발급되어, 공격자가 플러그인의 전체 설정을 덮어쓰거나 기존 설정을 임의로 삭제할 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인도 웹사이트의 예약 플러그인 설정을 마음대로 바꿀 수 있는 보안 결함입니다. 공격자가 설정을 조작하여 플러그인을 망가뜨리거나 원래 있던 설정을 지워버릴 수 있습니다.
🇺🇸 원문 (English)
The TrueBooker WordPress plugin before 1.3.0 does not perform any capability check on one of its setup handlers, and the token it does check is issued to unauthenticated visitors, allowing anyone to overwrite the plugin's entire configuration and to discard any setting they do not supply.
📍 영향받는 시스템
TrueBooker WordPress plugin version < 1.3.0
⚔️ 공격 벡터
인증되지 않은 사용자가 취약한 설정 핸들러에 접근하여 조작된 요청을 전송
🛡️ 대응 방법
TrueBooker 플러그인을 최신 버전(1.3.0 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 TrueBooker 플러그인의 버전이 1.3.0 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'truebooker'