🇰🇷 한글 설명
WordPress용 WPBot – AI ChatBot 플러그인의 wpbot_send_email_transcript_free 함수에서 민감 정보 노출 취약점이 발견되었습니다. 인증되지 않은 공격자가 채팅 기록과 이름, 이메일, 전화번호 등 사용자의 개인정보를 공격자가 제어하는 이메일 주소로 탈취할 수 있습니다.
💡 쉬운 설명
채팅봇 플러그인의 허점을 이용해 누구나 고객과의 대화 내용과 개인정보를 몰래 가로챌 수 있는 보안 결함입니다. 이름이나 전화번호 같은 중요한 정보가 외부로 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The WPBot – AI ChatBot for Live Support, Lead Generation, AI Services plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 8.5.9 via the wpbot_send_email_transcript_free. This makes it possible for unauthenticated attackers to exfiltrate full chat transcripts and associated user PII — including names, email addresses, and phone numbers — stored in the wpbot_user and wpbot_conversation tables to an attacker-controlled email address.
📍 영향받는 시스템
WPBot – AI ChatBot for Live Support, Lead Generation, AI Services plugin (버전 8.5.9 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 취약한 함수를 호출하여 데이터베이스 내의 채팅 기록 및 개인정보를 외부 이메일로 전송
🛡️ 대응 방법
WPBot 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 8.5.9보다 높으면 안전하며, 8.5.9 이하이면 취약한 상태입니다.
wp-cli plugin list --name=wpbot --format=json | grep -oP '(?<=version":")[^"]+'