🇰🇷 한글 설명
TrueBooker WordPress 플러그인 1.3.0 미만 버전에서 예약 소유권 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 공격자가 예약 식별자를 열거하여 고객의 개인정보를 탈취하거나 예약 확인 링크를 무효화할 수 있습니다.
💡 쉬운 설명
예약 확인 페이지를 볼 때 본인이 예약했는지 확인하는 과정이 빠져 있습니다. 해커가 예약 번호를 무작위로 입력하면 다른 사람의 개인정보를 훔치거나 예약을 취소할 수 있습니다.
🇺🇸 원문 (English)
The TrueBooker WordPress plugin before 1.3.0 does not verify that the requester owns a booking before rendering its confirmation summary, allowing unauthenticated attackers to enumerate booking identifiers and retrieve the personal information of customers who booked an appointment, as well as invalidate the customer's own confirmation link.
📍 영향받는 시스템
TrueBooker WordPress plugin version < 1.3.0
⚔️ 공격 벡터
인증되지 않은 공격자가 예약 식별자(ID)를 무작위로 대입하여 개인정보를 조회하는 방식
🛡️ 대응 방법
TrueBooker WordPress 플러그인을 1.3.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 truebooker 플러그인의 버전이 1.3.0 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'truebooker'