🇰🇷 한글 설명
WordPress용 Quickcreator – AI Blog Writer 플러그인의 0.0.9에서 0.1.17 버전에서 민감한 정보 노출 취약점이 발견되었습니다. /wp-content/plugins/quickcreator/dupasrala.txt 파일에 API 키가 노출되어, 인증되지 않은 공격자가 이를 탈취해 게시물을 생성하거나 XSS 공격을 수행할 수 있습니다.
💡 쉬운 설명
플러그인 안에 중요한 비밀번호(API 키)가 적힌 텍스트 파일이 누구나 볼 수 있게 방치되어 있습니다. 해커가 이 비밀번호를 알아내면 내 블로그에 이상한 글을 쓰거나 악성 코드를 심을 수 있습니다.
🇺🇸 원문 (English)
The Quickcreator – AI Blog Writer plugin for WordPress is vulnerable to Sensitive Information Exposure in versions 0.0.9 to 0.1.17 through the /wp-content/plugins/quickcreator/dupasrala.txt file. This makes it possible for unauthenticated attackers to view the plugin's API key and subsequently use that to perform actions on the site like creating new posts and injecting XSS payloads.
📍 영향받는 시스템
Quickcreator – AI Blog Writer plugin (WordPress) versions 0.0.9 to 0.1.17
⚔️ 공격 벡터
인증되지 않은 공격자가 특정 경로(/wp-content/plugins/quickcreator/dupasrala.txt)에 직접 접근하여 API 키 탈취
🛡️ 대응 방법
해당 플러그인을 최신 버전으로 업데이트하거나, 취약한 경로의 파일을 즉시 삭제하십시오.
🔧 검증 코드
명령어 결과로 HTTP 200 OK가 반환되면 해당 파일이 노출되어 있는 상태이므로 위험합니다.
curl -s -I http://<target-url>/wp-content/plugins/quickcreator/dupasrala.txt | grep 'HTTP/1.1 200 OK'