🇰🇷 한글 설명
WPBot WordPress 플러그인 8.5.7 이전 버전에서 여러 AJAX 작업에 대한 권한 및 논스(nonce) 확인이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 사이트에 설정된 AI API 키를 사용하여 제3자 API 호출을 수행하고 비용을 발생시킬 수 있습니다.
💡 쉬운 설명
해커가 로그인하지 않고도 웹사이트의 AI 기능을 몰래 사용하여 관리자의 돈을 써버릴 수 있는 보안 결함입니다. 사이트에 연결된 AI 서비스의 비용이 예상치 못하게 청구될 수 있습니다.
🇺🇸 원문 (English)
The WPBot WordPress plugin before 8.5.7 does not perform any authorization or nonce check on several AJAX actions that relay prompts to its configured AI providers, allowing unauthenticated attackers to make those third-party API calls, and consume the associated cost, using the site's own configured API keys.
📍 영향받는 시스템
WPBot WordPress plugin version < 8.5.7
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 AJAX 요청을 통해 사이트의 AI API를 호출
🛡️ 대응 방법
WPBot 플러그인을 최신 버전인 8.5.7 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 WPBot의 버전을 확인하여 8.5.7 미만인지 체크하십시오.
wp plugin list --status=active | grep -i 'wpbot'