🇰🇷 한글 설명
WordPress 플러그인 'Text to Speech for WP (AI Voices by Mementor)' 버전 1.9.8 이하에서 Mementor_TTS_Remote_Telemetry 클래스에 MySQL 데이터베이스 자격증명이 하드코딩되어 있습니다. 인증되지 않은 공격자가 이를 추출하여 해석하고 vendor의 telemetry 데이터베이스에 무단으로 쓰기 액세스할 수 있습니다.
💡 쉬운 설명
WordPress의 특정 음성변환 플러그인에서 데이터베이스 비밀번호가 코드에 그대로 노출되어 있습니다. 누구나 이를 찾아서 회사의 추적 시스템에 접근하고 데이터를 조작할 수 있습니다.
🇺🇸 원문 (English)
The Text to Speech for WP (AI Voices by Mementor) plugin for WordPress is vulnerable to sensitive information exposure in all versions up to, and including, 1.9.8. This is due to the plugin containing hardcoded MySQL database credentials for the vendor's external telemetry server in the `Mementor_TTS_Remote_Telemetry` class. This makes it possible for unauthenticated attackers to extract and decode these credentials, gaining unauthorized write access to the vendor's telemetry database.
📍 영향받는 시스템
WordPress 플러그인 'Text to Speech for WP (AI Voices by Mementor)' 버전 1.9.8 이하
⚔️ 공격 벡터
플러그인 소스 코드에서 노출된 하드코딩된 MySQL 자격증명을 추출하여 telemetry 데이터베이스 접근
🛡️ 대응 방법
플러그인을 1.9.9 이상으로 업데이트하거나 제거
🔧 검증 코드
명령어가 파일을 반환하면 플러그인이 설치되어 있으며, 해당 플러그인 파일에서 버전을 확인하여 1.9.8 이하인지 확인합니다.
find /var/www/html/wp-content/plugins -type f -name '*.php' -exec grep -l 'Mementor_TTS_Remote_Telemetry' {} \; 2>/dev/null