🇰🇷 한글 설명
Newsletters WordPress 플러그인 4.17 미만 버전에서 API 키 생성 시 충분히 무작위적이지 않은 값을 사용하여 보안 취약점이 발생합니다. 공격자는 공개된 값을 바탕으로 API 키를 계산할 수 있으며, 이를 통해 인증 없이 구독자 관리 및 이메일 발송과 같은 권한이 필요한 작업을 수행할 수 있습니다.
💡 쉬운 설명
플러그인이 사용하는 비밀번호(API 키)가 너무 예측하기 쉬운 방식으로 만들어져 있습니다. 해커가 이 비밀번호를 알아내면 관리자 권한을 가진 것처럼 이메일을 마음대로 보내거나 구독자 정보를 조작할 수 있습니다.
🇺🇸 원문 (English)
The Newsletters WordPress plugin before 4.17 does not generate its API key using a sufficiently random source, deriving it from a publicly known value, allowing unauthenticated attackers to compute the key and perform privileged actions such as adding and deleting subscribers and sending emails, when the optional API has been enabled.
📍 영향받는 시스템
Newsletters WordPress plugin version < 4.17
⚔️ 공격 벡터
예측 가능한 API 키를 계산하여 인증 없이 원격에서 API 요청을 보내는 방식
🛡️ 대응 방법
Newsletters WordPress 플러그인을 최신 버전(4.17 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 Newsletters 플러그인의 버전이 4.17 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'newsletters'