🇰🇷 한글 설명
WordPress용 GPTranslate 플러그인의 enqueue_frontend_scripts 함수를 통해 민감한 정보가 노출되는 취약점이 발견되었습니다. 인증되지 않은 공격자가 공개된 페이지를 요청하고 플러그인에 포함된 JavaScript 자산을 분석함으로써 OpenAI, DeepL 등 AI 서비스의 API 키를 평문으로 탈취할 수 있습니다.
💡 쉬운 설명
웹사이트 번역 플러그인이 사용하는 중요한 비밀번호(API 키)가 인터넷상에 그대로 노출되는 문제입니다. 해커가 이 키를 훔치면 사용자의 비용을 대신 결제하게 하거나 계정 권한을 악용할 수 있습니다.
🇺🇸 원문 (English)
The GPTranslate – Multilingual AI Translation Agent for WordPress: Translate Your Site with AI plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 2.34.6 via the enqueue_frontend_scripts. This makes it possible for unauthenticated attackers to extract the plaintext third-party AI provider API key (OpenAI, DeepL, xAI/Grok, Gemini, Claude, or Google Cloud Translation) — a credential granting billed account access — by fetching any public page and applying the inverse transformation bundled in the plugin's own public JavaScript asset. This exposure affects the default configuration (gpt-3.5-turbo in client mode) and all supported non-DeepSeek providers; only deepseek-* models and gpt-* models configured in server-proxy mode correctly suppress key emission.
📍 영향받는 시스템
GPTranslate – Multilingual AI Translation Agent for WordPress (버전 2.34.6 및 그 이하 모든 버전)
⚔️ 공격 벡터
공개된 웹 페이지를 요청한 후 플러그인의 JavaScript 파일을 분석하여 암호화된 API 키를 역변환하여 탈취
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, API 키가 노출되지 않도록 서버 프록시 모드(server-proxy mode)를 사용하십시오.
🔧 검증 코드
명령어 결과에 GPTranslate 플러그인이 나타나고 버전이 2.34.6 이하인 경우 취약할 가능성이 높습니다.
wp plugin list --status=active | grep -i 'gpttranslate'