🇰🇷 한글 설명
AI Engine WordPress 플러그인 3.7.2 미만 버전에서 관리자 전용 기능에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 익명 방문자에게 제공되는 토큰을 이용해 사이트 소유자의 설정된 AI 계정으로 임의의 AI 쿼리를 실행할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 사이트 관리자 권한을 도용하여 사이트 주인의 돈(AI 서비스 비용)을 써서 AI를 마음대로 사용할 수 있는 보안 결함입니다. 공격자가 사이트의 AI 기능을 무단으로 사용하여 비용을 발생시키거나 악용할 수 있습니다.
🇺🇸 원문 (English)
The AI Engine WordPress plugin before 3.7.2 does not perform an authorisation check on one of its administration-only features, relying instead on a token it hands out to anonymous visitors, allowing unauthenticated attackers to run AI queries of their own choosing against the site owner's configured provider account.
📍 영향받는 시스템
AI Engine WordPress plugin versions before 3.7.2
⚔️ 공격 벡터
인증되지 않은 공격자가 익명용 토큰을 사용하여 관리자 전용 AI 쿼리 기능에 접근
🛡️ 대응 방법
AI Engine WordPress 플러그인을 최신 버전인 3.7.2 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 ai-engine의 버전이 3.7.2 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'ai-engine'