🇰🇷 한글 설명
WordPress의 Lightweight Cookie Notice 플러그인 1.19 버전 이하에서 민감한 정보 노출 취약점이 발견되었습니다. W3TC_DYNAMIC_SECURITY 상수가 공개된 값으로 하드코딩되어 있어, 공격자가 W3 Total Cache의 보안 키를 알아낼 수 있습니다. 이를 통해 W3 Total Cache가 설치된 환경에서 임의의 PHP 코드를 주입할 위험이 있습니다.
💡 쉬운 설명
쿠키 안내 플러그인의 설정 오류로 인해 중요한 보안 열쇠가 외부에 노출되는 문제입니다. 해커가 이 열쇠를 이용해 웹사이트에 악성 코드를 심고 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
The Lightweight Cookie Notice – Cookie Banner for Cookie Consent plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 1.19 This is due to the W3TC_DYNAMIC_SECURITY constant being hardcoded to a publicly known value. This makes it possible for unauthenticated attackers to know the W3 Total Cache mfunc security key, which when W3 Total Cache is installed may allow arbitrary PHP code injection.
📍 영향받는 시스템
WordPress Lightweight Cookie Notice plugin (버전 1.19 이하)
⚔️ 공격 벡터
하드코딩된 상수를 이용해 W3 Total Cache의 보안 키를 탈취한 후 PHP 코드 주입 공격 수행
🛡️ 대응 방법
해당 플러그인을 최신 버전으로 업데이트하거나, W3 Total Cache와의 연관성을 확인하여 보안 설정을 강화하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 설치된 버전이 1.19 이하인지 확인이 필요합니다.
wp plugin list --status=active | grep -E 'lightweight-cookie-notice'