🇰🇷 한글 설명
AI ChatBot for WooCommerce WordPress 플러그인 4.8.4 미만 버전에서 권한 및 논스(nonce) 확인이 누락된 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 사이트 소유자의 저장된 API 키를 악용하여 비용을 발생시키거나 지식 베이스 콘텐츠를 탈취할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 해커가 쇼핑몰 관리자의 돈을 써서 AI 서비스를 마음대로 이용하거나 내부 정보를 훔쳐갈 수 있는 문제입니다. 관리자의 API 키가 도용되어 금전적 손실이 발생할 수 있습니다.
🇺🇸 원문 (English)
The AI ChatBot for WooCommerce WordPress plugin before 4.8.4 does not perform any authorization or nonce check on one of its AJAX actions, allowing unauthenticated users to abuse the site owner's stored third-party API key to send requests billed to the owner's account and, when an optional feature is enabled, to retrieve indexed knowledge-base content.
📍 영향받는 시스템
AI ChatBot for WooCommerce WordPress plugin version < 4.8.4
⚔️ 공격 벡터
인증되지 않은 사용자가 권한 검증이 없는 AJAX 액션을 호출하여 API 키를 탈취 및 악용
🛡️ 대응 방법
AI ChatBot for WooCommerce 플러그인을 최신 버전인 4.8.4 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 버전이 4.8.4 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'ai-chatbot-for-woocommerce'