CVE-2024-11396

Event Monster <= 1.4.3 - 방문자 목록 내보내기를 통한 정보 노출

설명

Event Monster – Event Management, Tickets Booking, Upcoming Event 워드프레스 플러그인은 버전 1.4.3 이하에서 방문자 목록 내보내기 파일을 통해 정보 노출 취약점에 영향을 받습니다. 내보내기 중에 wp-content 폴더에 하드코딩된 파일명으로 CSV 파일이 생성되며, 이 파일은 공개적으로 접근 가능합니다. 이를 통해 인증되지 않은 공격자가 이벤트 방문자의 이름, 성, 이메일, 전화번호를 포함한 데이터를 추출할 수 있습니다.

세부 정보

• 유형: 플러그인
• 슬러그: event-monster
• 영향 버전: 1.4.3
• CVSS 점수: 5.3
• CVSS 등급: 중간
• CVSS 벡터: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
• CVE: CVE-2024-11396
• 상태: 활성

POC

https://www.wordpress.lan/wp-content/uploads/visitors-list.csv