🇰🇷 한글 설명
WordPress용 Yandex Market 플러그인(YML for Yandex Market) 5.10.0 이하 버전에서 'y4ym_check_action' 파라미터를 통해 민감 정보가 노출되는 취약점입니다. 인증되지 않은 공격자가 공개 접근 가능한 로그 파일에서 판매자의 평문 Yandex Market API 키를 탈취할 수 있습니다. 해당 피드에 API 키가 저장되어 있고 y4ym_keeplogs 옵션이 활성화된 경우에만 악용됩니다.
💡 쉬운 설명
이 플러그인의 로그 파일이 누구나 볼 수 있는 웹 경로에 저장되어, 그 안에 적힌 판매자의 쇼핑몰 접속 열쇠(API 키)가 외부에 노출될 수 있습니다. 노출되면 공격자가 상품 정보, 가격, 재고를 마음대로 바꿀 수 있습니다.
🇺🇸 원문 (English)
The YML for Yandex Market plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 5.10.0 via the 'y4ym_check_action' parameter. This makes it possible for unauthenticated attackers to extract the merchant's plaintext Yandex Market API key written to the publicly accessible log file at wp-content/uploads/y4ym/yml-for-yandex-market.log, granting full control over the merchant's marketplace catalogue, prices, and stock. Exploitation requires that the targeted feed has a stored Yandex Market API key and that the y4ym_keeplogs option is enabled — both conditions that represent normal, documented plugin usage actively encouraged by the plugin's own support and feedback workflow.
📍 영향받는 시스템
WordPress용 YML for Yandex Market 플러그인 5.10.0 이하 버전 (y4ym_keeplogs 옵션 활성화 및 API 키 저장 환경)
⚔️ 공격 벡터
인증 없이 y4ym_check_action 파라미터를 통해 공개 로그 파일(wp-content/uploads/y4ym/yml-for-yandex-market.log)에 접근하여 평문 API 키를 추출
🛡️ 대응 방법
플러그인을 최신 패치 버전으로 업데이트하고, 로그 파일을 삭제하며, y4ym_keeplogs 옵션을 비활성화하고, 노출된 Yandex Market API 키를 즉시 폐기 후 재발급
🔧 검증 코드
출력된 버전 번호가 5.10.0 이하이면 취약하며, 설치 경로의 wp-content/uploads/y4ym/yml-for-yandex-market.log 파일 존재 여부도 함께 확인해야 합니다.
wp plugin get yml-for-yandex-market --field=version 2>/dev/null || grep -h 'Version:' $(find / -path '*/yml-for-yandex-market/*.php' 2>/dev/null | head -1) 2>/dev/null