🇰🇷 한글 설명
BookingPress Appointment Booking Pro WordPress 플러그인 5.7.3 미만 버전에서 REST API 권한 콜백이 올바르게 호출되지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 API 네임스페이스의 모든 경로에 접근하여 고객 예약 데이터를 읽거나 다른 사용자의 예약을 수정할 수 있습니다.
💡 쉬운 설명
예약 관리 플러그인의 보안 설정 오류로 인해, 로그인하지 않은 외부인이 고객의 개인 예약 정보를 몰래 보거나 내용을 마음대로 바꿀 수 있는 문제입니다. 누구나 예약 시스템의 관리자 권한 일부를 악용할 수 있는 위험한 상태입니다.
🇺🇸 원문 (English)
The bookingpress-appointment-booking-pro WordPress plugin before 5.7.3 does not correctly invoke its REST permission callback, leaving every route in one of its API namespaces reachable without authentication and allowing unauthenticated attackers to read customer booking data and modify other users' bookings.
📍 영향받는 시스템
BookingPress Appointment Booking Pro WordPress plugin version < 5.7.3
⚔️ 공격 벡터
인증되지 않은 상태에서 취약한 REST API 엔드포인트에 직접 요청을 보내는 방식
🛡️ 대응 방법
플러그인을 최신 버전인 5.7.3 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 버전이 5.7.3 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'bookingpress' && wp plugin list --all | grep -E 'bookingpress-appointment-booking-pro'