🇰🇷 한글 설명
WordPress용 Trinity Audio – Text to Speech AI 플러그인의 모든 버전(5.21.0 포함)에서 민감 정보 노출 취약점이 발견되었습니다. 설치 시 생성되는 ~/admin/inc/phpinfo.php 파일을 통해 인증되지 않은 공격자가 구성 데이터와 같은 민감한 정보를 추출할 수 있습니다.
💡 쉬운 설명
플러그인을 설치할 때 실수로 남겨진 설정 파일 때문에 시스템의 중요한 정보가 외부에 노출될 수 있는 문제입니다. 해커가 이 파일을 읽으면 웹사이트의 중요한 설정값을 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
The Trinity Audio – Text to Speech AI audio player to convert content into audio plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 5.21.0 via the ~/admin/inc/phpinfo.php file that gets created on install. This makes it possible for unauthenticated attackers to extract sensitive data including configuration data.
📍 영향받는 시스템
Trinity Audio – Text to Speech AI 플러그인 5.21.0 및 그 이전의 모든 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 웹 서버의 ~/admin/inc/phpinfo.php 경로에 직접 접근하여 데이터 탈취
🛡️ 대응 방법
해당 플러그인을 최신 버전으로 업데이트하거나, 서버에서 ~/admin/inc/phpinfo.php 파일을 즉시 삭제하십시오.
🔧 검증 코드
명령어 결과로 HTTP 200 OK가 반환되면 해당 취약한 파일이 존재하여 정보 노출 위험이 있는 상태입니다.
curl -s -I http://<target-url>/wp-content/plugins/trinity-audio-text-to-speech/admin/inc/phpinfo.php | grep -E 'HTTP/1.1 200 OK'