🇰🇷 한글 설명
WordPress용 Image Buzz 플러그인의 모든 버전(1.0.3 포함)에서 권한 확인 누락으로 인해 API 키가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 인증되지 않은 공격자가 'pixabay_api', 'unsplash_api', 'pixels_api' 파라미터를 사용하여 관리자가 설정한 API 키를 임의로 변경할 수 있습니다.
💡 쉬운 설명
이미지 관련 플러그인의 보안 구멍을 통해 해커가 관리자 몰래 이미지 서비스 연결 키를 바꿀 수 있는 문제입니다. 이를 통해 해커가 자신의 계정으로 이미지를 불러오게 하거나 설정을 망가뜨릴 수 있습니다.
🇺🇸 원문 (English)
The Image Buzz plugin for WordPress is vulnerable to unauthorized API key modification due to missing authorization checks in all versions up to, and including, 1.0.3. This makes it possible for unauthenticated attackers to modify arbitrary API keys (Pixabay, Unsplash, Pixels) configured by site administrators via the 'pixabay_api', 'unsplash_api', or 'pixels_api' parameters.
📍 영향받는 시스템
WordPress Image Buzz plugin (버전 1.0.3 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 API 파라미터를 조작하여 서버로 전송하는 방식
🛡️ 대응 방법
플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하거나 사용 중단
🔧 검증 코드
명령어 결과에 'image-buzz'가 나타나면 해당 플러그인이 설치되어 있으므로 버전 확인 후 취약 버전 여부를 판단해야 합니다.
wp plugin list --status=active | grep -i 'image-buzz'