🇰🇷 한글 설명
Pixelavo WordPress 플러그인 1.5.4 미만 버전에서 인증되지 않은 사용자가 AJAX 액션을 통해 임의의 이벤트 데이터를 Facebook Conversions API로 전송할 수 있는 취약점이 발견되었습니다. 공격자는 관리자의 액세스 토큰을 악용하여 광고 계정에 허위 전환 이벤트를 주입하고 API 할당량을 소진시킬 수 있습니다.
💡 쉬운 설명
로그인하지 않은 방문자가 관리자의 권한을 몰래 사용하여 페이스북 광고 계정에 가짜 데이터를 보낼 수 있는 문제입니다. 이로 인해 광고 데이터가 오염되거나 광고 운영에 필요한 서비스 사용량이 갑자기 바닥날 수 있습니다.
🇺🇸 원문 (English)
The Pixelavo WordPress plugin before 1.5.4 registers an unauthenticated AJAX action, gated only by a nonce that it emits publicly on every front-end page, that forwards client-supplied event data to the configured Facebook Conversions API using the administrator's stored access token. This allows an unauthenticated visitor to inject arbitrary conversion events into the administrator's Facebook ads account and exhaust the configured API quota.
📍 영향받는 시스템
Pixelavo WordPress plugin versions before 1.5.4
⚔️ 공격 벡터
인증되지 않은 사용자가 공개된 nonce를 이용해 조작된 AJAX 요청을 전송
🛡️ 대응 방법
Pixelavo WordPress 플러그인을 1.5.4 버전 이상으로 즉시 업데이트
🔧 검증 코드
출력된 결과에서 pixelavo 플러그인의 버전이 1.5.4 미만인지 확인
wp plugin list --allow-root | grep -E 'pixelavo'