🇰🇷 한글 설명
WordPress용 Newsletter - API v1 and v2 애드온 플러그인 2.4.5 이하 버전에서 check_api_key 함수의 PHP 타입 저글링 취약점으로 인해 인증되지 않은 공격자가 뉴스레터 구독자를 열람, 생성, 삭제할 수 있습니다. PHP 8.0 미만 환경에서만 영향을 받으며, 구독자 데이터의 무단 조작이 가능합니다.
💡 쉬운 설명
워드프레스 뉴스레터 플러그인에 로그인 없이도 구독자 목록을 보거나 추가·삭제할 수 있는 보안 허점이 있습니다. 오래된 PHP 버전(8.0 미만)을 사용하는 사이트에서만 이 문제가 발생합니다.
🇺🇸 원문 (English)
The Newsletter - API v1 and v2 addon plugin for WordPress is vulnerable to unauthorized subscribers management due to PHP type juggling issue on the check_api_key function in all versions up to, and including, 2.4.5. This makes it possible for unauthenticated attackers to list, create or delete newsletter subscribers. This issue affects only sites running the PHP version below 8.0
📍 영향받는 시스템
WordPress Newsletter API v1/v2 addon 플러그인 2.4.5 이하 버전 (PHP 8.0 미만 환경)
⚔️ 공격 벡터
인증 없이 API 엔드포인트에 타입 저글링을 이용한 HTTP 요청을 보내 check_api_key 검증을 우회
🛡️ 대응 방법
Newsletter API 애드온 플러그인을 2.4.6 이상으로 업데이트하거나, PHP 버전을 8.0 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 2.4.5 이하이면 취약, 2.4.6 이상이거나 출력이 없으면 해당 플러그인 미설치 또는 패치 완료
wp plugin list --path=/var/www/html 2>/dev/null | grep -i 'newsletter-api' || find /var/www -name 'newsletter-api.php' 2>/dev/null -exec grep -oP 'Version:\s*\K[\d.]+' {} \;