🇰🇷 한글 설명
The Geeky Bot WordPress 플러그인 1.2.8 미만 버전에서 AJAX 작업에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 워드프레스 사용자 이름, 사용자 ID, 타임스탬프를 포함한 채팅 기록 세션 메타데이터를 탈취할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 웹사이트의 채팅 기록 정보를 몰래 훔쳐볼 수 있는 보안 결함입니다. 이 과정에서 관리자의 아이디와 같은 민감한 정보가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
The Geeky Bot WordPress plugin before 1.2.8 does not perform an authorization check on one of its AJAX actions, allowing unauthenticated users to retrieve chat-history session metadata including WordPress usernames, user IDs, and timestamps.
📍 영향받는 시스템
The Geeky Bot WordPress plugin version < 1.2.8
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 AJAX 요청을 통해 세션 메타데이터를 요청함
🛡️ 대응 방법
The Geeky Bot 플러그인을 1.2.8 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 'geeky-bot'의 버전을 확인하여 1.2.8 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'geeky-bot'