🇰🇷 한글 설명
WordPress의 'AI Chatbot Free Models' 플러그인 1.6.5 이하 버전에서 CSV 인젝션 취약점이 발견되었습니다. 'newcodebyte_chatbot_export_messages' 함수의 데이터 검증 미흡으로 인해, 공격자가 내보내기용 CSV 파일에 악성 코드를 삽입할 수 있습니다. 이 파일이 로컬 시스템에서 실행될 경우 코드 실행으로 이어질 수 있습니다.
💡 쉬운 설명
채팅봇의 대화 내용을 엑셀(CSV) 파일로 저장할 때, 공격자가 몰래 악성 명령어를 섞어 넣을 수 있는 문제입니다. 관리자가 이 파일을 다운로드하여 열면 컴퓨터가 해킹될 위험이 있습니다.
🇺🇸 원문 (English)
The AI Chatbot Free Models – Customer Support, Live Chat, Virtual Assistant plugin for WordPress is vulnerable to CSV Injection in all versions up to, and including, 1.6.5. This is due to insufficient sanitization in the 'newcodebyte_chatbot_export_messages' function. This makes it possible for unauthenticated attackers to embed untrusted input into exported CSV files, which can result in code execution when these files are downloaded and opened on a local system with a vulnerable configuration.
📍 영향받는 시스템
AI Chatbot Free Models – Customer Support, Live Chat, Virtual Assistant plugin (v1.6.5 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 채팅 메시지에 악성 구문을 삽입하여 CSV 내보내기 기능을 통해 공격 코드를 전달
🛡️ 대응 방법
해당 플러그인을 최신 버전으로 업데이트하거나, CSV 파일을 열 때 수식 실행을 주의해야 합니다.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 1.6.5 이하인지 체크합니다.
wp plugin list --status=active | grep -E 'ai-chatbot-free-models'