🇰🇷 한글 설명
WP Compress – Instant Performance & Speed Optimization 플러그인은 7.22.01 이하 모든 버전에서 권한 검증이 제대로 이루어지지 않아 인증 우회 취약점이 존재합니다. 공격자는 이를 이용해 피해 사이트를 공격자 계정에 연결하고 설정을 변경하며, 공유 api_key를 탈취해 캐시 삭제, 파일 삭제 등 권한이 필요한 작업을 수행할 수 있습니다. 이 취약점은 api_key가 저장되지 않은 신규 설치 또는 Lite/무료 모드 설치에만 영향을 줍니다.
💡 쉬운 설명
웹사이트 속도 최적화 플러그인의 결함으로, 로그인하지 않은 공격자가 사이트의 설정과 관리 기능을 장악할 수 있습니다. 신규 설치나 무료 모드 사이트가 특히 위험합니다.
🇺🇸 원문 (English)
The WP Compress – Instant Performance & Speed Optimization plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 7.22.01. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to link the victim site to an attacker-controlled WP Compress account, overwrite plugin settings to an aggressive live-CDN preset, and gain the shared api_key that authenticates all nopriv HMAC-gated endpoints — enabling full control over cache purging, file deletion, opcode cache invalidation, and other privileged plugin operations. This vulnerability only affects fresh installations or lite/free-mode installs where no api_key is already stored, as the sole guard fails open when the stored key is absent.
📍 영향받는 시스템
WordPress WP Compress 플러그인 7.22.01 이하 버전 (api_key 미저장 신규 설치 및 Lite/무료 모드)
⚔️ 공격 벡터
인증되지 않은 공격자가 플러그인 인증 엔드포인트를 호출해 사이트를 공격자 계정에 연결하고 설정을 덮어쓴 뒤 api_key를 탈취하여 관리 기능을 수행
🛡️ 대응 방법
WP Compress 플러그인을 수정된 최신 버전으로 업데이트하고, 불필요한 경우 플러그인을 비활성화 후 제거하며, 설정 및 api_key 값을 점검하고 필요 시 재발급
🔧 검증 코드
출력된 버전 번호가 7.22.01 이하이면 취약하며, 수정된 버전(7.22.01 초과)이면 안전합니다. 아무 결과도 나오지 않으면 플러그인이 설치되지 않은 것입니다.
wp plugin get wp-compress-image-optimizer --field=version 2>/dev/null || grep -m1 'Version:' $(find /var/www -path '*wp-compress*' -name '*.php' 2>/dev/null | head -1)