🇰🇷 한글 설명
Newsletters WordPress 플러그인 4.16 미만 버전에서 API 인증 키를 엄격하게 비교하지 않는 취약점이 발견되었습니다. 공격자는 타입 저글링(Type Juggling)을 통해 인증을 우회하여 구독자 정보를 수정하거나 이메일을 발송하는 등의 권한 있는 작업을 수행할 수 있습니다.
💡 쉬운 설명
인증 키를 확인하는 과정에서 보안 허점이 있어, 비밀번호를 몰라도 시스템에 접속할 수 있는 문제입니다. 이를 통해 해커가 사용자 정보를 바꾸거나 스팸 메일을 보낼 위험이 있습니다.
🇺🇸 원문 (English)
The Newsletters WordPress plugin before 4.16 does not strictly compare its API authentication key, allowing unauthenticated attackers to bypass the API authentication via type juggling and perform privileged actions such as modifying subscriber records and sending emails, when the optional API has been enabled.
📍 영향받는 시스템
Newsletters WordPress plugin version < 4.16
⚔️ 공격 벡터
타입 저글링을 이용한 API 인증 우회 공격
🛡️ 대응 방법
Newsletters WordPress 플러그인을 최신 버전(4.16 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 Newsletters의 버전을 확인하여 4.16 미만인지 체크합니다.
wp plugin list --allow-root | grep -E 'newsletters'