🇰🇷 한글 설명
WordPress의 Chat Help 플러그인 3.1.3 버전 이하에서 REST API 엔드포인트의 인증 및 권한 부여 부재로 인해 민감 정보가 노출되는 취약점이 발견되었습니다. 공격자는 인증 없이 고객의 이름, 이메일, 전화번호, 위치 정보 및 워드프레스 사용자 계정 정보를 탈취할 수 있습니다.
💡 쉬운 설명
채팅 상담 플러그인이 고객 정보를 보호하지 않아, 누구나 인터넷을 통해 고객의 개인정보와 관리자 정보를 몰래 훔쳐볼 수 있는 상태입니다. 상담을 이용한 고객의 연락처부터 위치, 심지어 사이트 관리자의 정보까지 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The Chat Help – Click to Chat Button & Form plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 3.1.3 via the REST API endpoints /wp-json/chat-help/v1/leads and /wp-json/chat-help/v1/leads/{id}. This is due to the plugin not performing any authentication and authorization checks. This makes it possible for unauthenticated attackers to extract sensitive data including customer names, email addresses, phone numbers, WhatsApp messages, complete geolocation data (IP addresses, city, country, ISP, coordinates), device fingerprinting information (browser, OS, screen resolution), and WordPress account credentials (user IDs, usernames, emails, names) for logged-in users who submit forms.
📍 영향받는 시스템
WordPress Chat Help – Click to Chat Button & Form plugin (버전 3.1.3 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증이 필요 없는 REST API 엔드포인트(/wp-json/chat-help/v1/leads)를 통한 데이터 추출
🛡️ 대응 방법
해당 플러그인을 최신 버전으로 업데이트하거나, 보안 패치가 적용될 때까지 플러그인 사용을 중단하십시오.
🔧 검증 코드
명령어 결과에 'chat-help' 플러그인이 나타나면 해당 취약점에 노출되었을 가능성이 높으므로 버전을 확인해야 합니다.
wp plugin list --status=active | grep 'chat-help'