🇰🇷 한글 설명
MC4WP: Mailchimp for WordPress 플러그인 4.15.0 이전 버전은 회원가입 폼이나 연동 기능이 구독자를 등록할 Mailchimp 오디언스가 사이트 소유자가 설정한 오디언스와 일치하는지 검증하지 않습니다. 이로 인해 인증되지 않은 방문자가 사이트에 연결된 Mailchimp 계정의 다른 오디언스에 임의의 이메일 주소를 구독시킬 수 있습니다.
💡 쉬운 설명
워드프레스 사이트의 뉴스레터 가입 기능을 악용하면 누구나 이메일 주소를 임의의 메일링 리스트에 등록시킬 수 있습니다. 그 결과 스팸 발송이나 잘못된 구독 정보로 인한 평판 손상이 생길 수 있습니다.
🇺🇸 원문 (English)
The MC4WP: Mailchimp for WordPress plugin before 4.15.0 does not validate that the Mailchimp audience a sign-up form or bundled integration subscribes a visitor to matches the audience configured by the site owner, allowing unauthenticated visitors to subscribe arbitrary email addresses to any other audience in the site's connected Mailchimp account.
📍 영향받는 시스템
MC4WP: Mailchimp for WordPress 플러그인 4.15.0 미만 버전
⚔️ 공격 벡터
인증 없이 가입 폼 요청에서 대상 오디언스 ID를 변조해 다른 오디언스에 이메일을 구독시킴
🛡️ 대응 방법
플러그인을 4.15.0 이상으로 업데이트하고, 연결된 Mailchimp 오디언스 설정을 점검
🔧 검증 코드
출력된 버전이 4.15.0 미만이면 취약한 것이며, 4.15.0 이상이면 패치가 적용된 것입니다. 아무것도 출력되지 않으면 플러그인 경로를 직접 확인해야 합니다.
wp plugin list --name=mailchimp-for-wp --field=version 2>/dev/null || grep -h 'Version:' /var/www/html/wp-content/plugins/mailchimp-for-wp/mailchimp-for-wp.php 2>/dev/null