🇰🇷 한글 설명
HEL Online Classroom: AI-powered Online Classrooms WordPress 플러그인 1.0.3 이하 버전에서 REST API 경로에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 BigBlueButton 서버와 통신할 때 사용하는 공유 비밀키를 포함한 저장된 설정을 탈취할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 플러그인의 중요한 설정 정보를 몰래 훔쳐볼 수 있는 보안 결함입니다. 특히 수업 시스템과 연결된 비밀번호 같은 핵심 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The HEL Online Classroom: AI-powered Online Classrooms WordPress plugin through 1.0.3 does not perform any authorisation check on one of its REST API routes, allowing unauthenticated users to retrieve its stored settings, including the shared secret used to sign API requests to the connected BigBlueButton server.
📍 영향받는 시스템
HEL Online Classroom: AI-powered Online Classrooms WordPress plugin version 1.0.3 and below
⚔️ 공격 벡터
인증되지 않은 사용자가 취약한 REST API 엔드포인트에 접근하여 설정 데이터를 요청함
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하거나 사용을 중단하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나고 버전이 1.0.3 이하이면 취약한 상태입니다.
wp plugin list --allow-root | grep -E 'hel-online-classroom'