🇰🇷 한글 설명
AI Engine WordPress 플러그인 3.6.4 미만 버전에서 관리자 페이지의 인라인 스크립트 데이터에 비밀 설정 값이 마스킹되지 않은 채 노출되는 취약점이 발견되었습니다. 이로 인해 편집자(Editor) 권한을 가진 사용자가 관리자에게만 제한되어야 할 제3자 API 키 및 인증 토큰을 평문으로 읽을 수 있습니다.
💡 쉬운 설명
플러그인 설정 정보가 제대로 숨겨지지 않아, 관리자가 아닌 일반 편집자도 중요한 비밀번호나 API 키를 훔쳐볼 수 있는 문제입니다. 이를 통해 공격자는 사이트의 권한을 탈취하거나 연결된 외부 서비스를 악용할 수 있습니다.
🇺🇸 원문 (English)
The AI Engine WordPress plugin before 3.6.4 does not redact secret configuration values before exposing them in an admin page's inline script data, allowing users with the Editor role to read the site's stored third-party API key and authentication tokens in cleartext, despite those secrets being restricted to administrators everywhere else.
📍 영향받는 시스템
AI Engine WordPress plugin version < 3.6.4
⚔️ 공격 벡터
편집자 권한을 가진 내부 사용자가 관리자 페이지의 소스 코드(인라인 스크립트)를 확인하여 노출된 API 키 탈취
🛡️ 대응 방법
AI Engine WordPress 플러그인을 최신 버전인 3.6.4 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.6.4보다 낮으면 취약한 상태입니다.
wp plugin list --status=active | grep -E 'ai-engine' && wp plugin list --format=json | jq '.[] | select(.name=="ai-engine") | .version'