🇰🇷 한글 설명
BackupSheep WordPress Backup 플러그인 1.8 이하 버전에서 통합 키 검증 미흡으로 인해 인증되지 않은 공격자가 사이트 전체 백업을 생성 및 다운로드할 수 있습니다. 이를 통해 데이터베이스 내 사용자 비밀번호 해시를 포함한 민감한 정보가 유출될 수 있으며, 서버의 임의 파일을 삭제하여 사이트 권한을 탈취할 수 있습니다.
💡 쉬운 설명
백업 플러그인의 보안 설정 오류로 인해, 아무나 우리 웹사이트의 모든 데이터(비밀번호 포함)를 가져가거나 파일을 지울 수 있는 매우 위험한 상태입니다. 이 플러그인을 사용 중이라면 즉시 삭제해야 합니다.
🇺🇸 원문 (English)
The BackupSheep WordPress Backup Plugin WordPress plugin through 1.8 does not properly validate its integration key, treating an unset or blank key as valid, which allows unauthenticated attackers to create and download full site backups, including the database with user password hashes, and to delete arbitrary files on the server, leading to sensitive data disclosure and site takeover.
The BackupSheep WordPress Backup Plugin WordPress plugin through 1.8 has been closed on WordPress.org since July 2024 and no fixed version is available. Remove it from any site where it is installed.
📍 영향받는 시스템
BackupSheep WordPress Backup Plugin 1.8 이하 모든 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 유효하지 않은 통합 키를 사용하여 원격에서 백업 생성 및 파일 삭제 명령 수행
🛡️ 대응 방법
해당 플러그인을 즉시 삭제하고, 이미 유출되었을 가능성을 고려하여 데이터베이스 비밀번호 및 관리자 계정 정보를 변경하십시오.
🔧 검증 코드
명령어 결과에 'backupsheep'이 포함되어 있다면 해당 취약한 플러그인이 설치되어 활성화된 상태입니다.
wp plugin list --status=active | grep -i 'backupsheep'