🇰🇷 한글 설명
WPBot WordPress 플러그인 8.7.6 미만 버전에서 Claude AI 설정 저장 시 권한 확인 절차가 누락되었습니다. 이로 인해 구독자(Subscriber) 권한을 가진 사용자도 API 키를 포함한 AI 제공자 설정을 임의로 변경할 수 있습니다.
💡 쉬운 설명
일반 사용자 권한을 가진 사람이 관리자 설정인 AI 연결 키를 마음대로 바꿀 수 있는 보안 약점입니다. 공격자가 자신의 API 키를 심어 비용을 가로채거나 설정을 조작할 위험이 있습니다.
🇺🇸 원문 (English)
The WPBot WordPress plugin before 8.7.6 does not perform a capability check on the AJAX action that saves its Claude AI provider settings, allowing users with subscriber-level access to overwrite those settings, including the API key used for the WPBot WordPress plugin before 8.7.6's outgoing AI requests.
📍 영향받는 시스템
WPBot WordPress plugin version < 8.7.6
⚔️ 공격 벡터
권한 검증이 없는 AJAX 액션을 이용한 설정값 변조 공격
🛡️ 대응 방법
WPBot 플러그인을 최신 버전(8.7.6 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 WPBot의 버전을 확인하여 8.7.6 미만인지 체크하십시오.
wp plugin list --status=active | grep -i 'wpbot'