🇰🇷 한글 설명
WordPress용 Document Pro Elementor 플러그인의 1.0.9 이하 모든 버전에서 정보 노출 취약점이 발견되었습니다. wp_localize_script를 통해 민감한 Algolia API 키가 프론트엔드 JavaScript 코드에 제한 없이 노출되어, 인증되지 않은 공격자가 이를 탈취할 수 있습니다. 탈취된 키를 이용하면 설정된 Algolia 검색 서비스에 대한 무단 API 호출이 가능해집니다.
💡 쉬운 설명
웹사이트의 검색 기능을 도와주는 플러그인이 중요한 비밀번호(API 키)를 누구나 볼 수 있는 곳에 공개해두고 있습니다. 해커가 이 비밀번호를 훔쳐서 해당 검색 서비스를 마음대로 이용하거나 악용할 수 있습니다.
🇺🇸 원문 (English)
The Document Pro Elementor – Documentation & Knowledge Base plugin for WordPress is vulnerable to Information Exposure in all versions up to, and including, 1.0.9. This is due to the plugin exposing sensitive Algolia API keys through the frontend JavaScript code via wp_localize_script without proper access restrictions. This makes it possible for unauthenticated attackers to view sensitive API keys in the page source, which could be leveraged to make unauthorized API calls to the configured Algolia search service.
📍 영향받는 시스템
Document Pro Elementor – Documentation & Knowledge Base plugin (WordPress) 1.0.9 이하 모든 버전
⚔️ 공격 벡터
웹 페이지 소스 코드 내 JavaScript를 통해 노출된 Algolia API 키를 확인하여 공격
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, API 키가 클라이언트 측에 노출되지 않도록 설정을 변경해야 합니다.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치 여부를 확인하고, 설치된 버전이 1.0.9 이하인지 대조하십시오.
wp plugin list --status=active | grep -E 'document-pro-elementor'