🇰🇷 한글 설명
WordPress용 eRoom – Webinar & Meeting Plugin 1.5.6 이하 모든 버전에서 민감한 정보가 노출되는 취약점이 발견되었습니다. 미팅 뷰 템플릿의 클라이언트 측 JavaScript에 Zoom SDK 비밀 키가 포함되어 있어, 인증되지 않은 공격자가 sdk_secret 값을 추출할 수 있습니다. 이를 통해 공격자는 유효한 JWT 서명을 생성하여 권한 없이 미팅에 접근할 수 있습니다.
💡 쉬운 설명
화상 회의 플러그인이 보안을 위해 숨겨야 할 비밀번호를 웹사이트 화면 소스 코드에 그대로 노출하고 있습니다. 해커가 이 비밀번호를 훔치면 허가받지 않은 사람이 회의에 몰래 들어올 수 있습니다.
🇺🇸 원문 (English)
The eRoom – Webinar & Meeting Plugin for Zoom, Google Meet, Microsoft Teams plugin for WordPress is vulnerable to exposure of sensitive information in all versions up to, and including, 1.5.6. This is due to the plugin exposing Zoom SDK secret keys in client-side JavaScript within the meeting view template. This makes it possible for unauthenticated attackers to extract the sdk_secret value, which should remain server-side, compromising the security of the Zoom integration and allowing attackers to generate valid JWT signatures for unauthorized meeting access.
📍 영향받는 시스템
eRoom – Webinar & Meeting Plugin (WordPress) 1.5.6 이하 모든 버전
⚔️ 공격 벡터
클라이언트 측 JavaScript 소스 코드에서 노출된 Zoom SDK secret 키를 추출하여 JWT 서명 위조
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, SDK 비밀 키가 클라이언트 측에 노출되지 않도록 서버 측 로직으로 수정
🔧 검증 코드
명령어 실행 결과로 'sdk_secret' 키와 함께 실제 값이 출력된다면 취약한 상태입니다.
curl -s http://<target-wordpress-site>/wp-content/plugins/eroom/ | grep -i 'sdk_secret'