🇰🇷 한글 설명
Easy Property Listings WordPress 플러그인 3.5.28 이전 버전에서 REST API 출력 시 특정 필드에 대한 제한이 없습니다. 이로 인해 인증되지 않은 사용자가 매물 가격, 판매 가격, 상세 주소 및 정확한 지도 좌표와 같이 숨겨진 정보를 읽을 수 있습니다.
💡 쉬운 설명
부동산 정보를 보여주는 플러그인의 보안 허점으로 인해, 원래 숨겨져 있어야 할 가격이나 상세 주소가 인터넷을 통해 누구나 볼 수 있는 상태로 노출됩니다. 해커가 로그인하지 않고도 민감한 부동산 정보를 쉽게 수집할 수 있습니다.
🇺🇸 원문 (English)
The Easy Property Listings WordPress plugin before 3.5.28 does not restrict which listing fields it adds to the public REST API output, allowing unauthenticated users to read details a site has chosen to hide on published listings, such as the asking price, sold price, street address and exact map coordinates.
📍 영향받는 시스템
Easy Property Listings WordPress plugin version < 3.5.28
⚔️ 공격 벡터
인증되지 않은 사용자가 공개된 REST API 엔드포인트를 통해 민감한 데이터 요청
🛡️ 대응 방법
Easy Property Listings 플러그인을 3.5.28 이상 버전으로 즉시 업데이트
🔧 검증 코드
출력된 플러그인 목록에서 easy-property-listings의 버전을 확인하여 3.5.28 미만인지 체크
wp plugin list --status=active | grep -E 'easy-property-listings'