🇰🇷 한글 설명
WoowBot 플러그인(5.0.0 이하)은 사용자의 권한을 제대로 검증하지 않아 권한 우회 취약점이 존재합니다. 구독자 이상의 인증된 공격자가 RAG 문서 동기화 기능을 반복 호출하여 관리자의 저장된 AI API 키로 임베딩 API 호출을 유발할 수 있으며, nonce 값은 모든 인증된 방문자에게 노출되어 있습니다.
💡 쉬운 설명
워드프레스 쇼핑몰의 AI 챗봇 플러그인에 결함이 있어, 가입만 한 일반 사용자도 관리자의 AI 서비스 요금을 소모시킬 수 있습니다. 이로 인해 사이트 운영자는 예상치 못한 API 비용 손실을 입을 수 있습니다.
🇺🇸 원문 (English)
The AI ChatBot for WooCommerce – WoowBot plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 5.0.0. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to repeatedly trigger RAG document sync operations that issue paid embedding API calls to OpenAI, Gemini, OpenRouter, or xAI charged to the site administrator's stored API key, draining their AI API credits and causing financial loss. The wp_chatbot nonce required to reach this endpoint is emitted to every authenticated frontend visitor via wp_localize_script, making it trivially obtainable by any subscriber-level account.
📍 영향받는 시스템
WordPress용 'AI ChatBot for WooCommerce – WoowBot' 플러그인 5.0.0 이하 버전
⚔️ 공격 벡터
구독자 권한의 계정으로 로그인한 후, 프론트엔드에 노출된 wp_chatbot nonce를 획득해 RAG 동기화 엔드포인트를 반복 호출하여 관리자 API 크레딧을 소진
🛡️ 대응 방법
WoowBot 플러그인을 5.0.1 이상 버전으로 업데이트하고, 업데이트 전까지는 해당 플러그인을 비활성화하며, OpenAI 등 AI 서비스에서 API 사용량 한도와 알림을 설정
🔧 검증 코드
출력된 버전이 5.0.0 이하이면 취약하며, 5.0.1 이상이면 패치가 적용된 것으로 판단합니다. 명령이 아무 결과도 내지 않으면 해당 플러그인이 설치되어 있지 않은 것입니다.
wp plugin get woowbot --field=version 2>/dev/null || grep -m1 'Version:' wp-content/plugins/woowbot/*.php 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access