🇰🇷 한글 설명
RafflePress WordPress 플러그인 1.12.27 미만 버전에서 reCAPTCHA 비밀 키가 공개 페이지에 노출되는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 방문자가 활성화된 이벤트의 reCAPTCHA 비밀 키를 탈취할 수 있습니다.
💡 쉬운 설명
이벤트 페이지를 구경하는 누구나 이벤트 보안을 위한 비밀번호를 몰래 훔쳐볼 수 있는 문제입니다. 해커가 이 비밀번호를 이용해 보안 시스템을 무력화할 위험이 있습니다.
🇺🇸 원문 (English)
The Giveaways and Contests by RafflePress WordPress plugin before 1.12.27 does not remove the reCAPTCHA secret key from the giveaway settings it embeds in public giveaway pages, allowing unauthenticated visitors to retrieve the secret key of any active giveaway that has reCAPTCHA configured.
📍 영향받는 시스템
Giveaways and Contests by RafflePress WordPress plugin version < 1.12.27
⚔️ 공격 벡터
공개된 이벤트 페이지의 소스 코드 또는 네트워크 응답에서 노출된 reCAPTCHA secret key를 추출
🛡️ 대응 방법
RafflePress 플러그인을 최신 버전인 1.12.27 이상으로 즉시 업데이트
🔧 검증 코드
출력된 플러그인 목록에서 RafflePress의 버전을 확인하여 1.12.27 미만인지 체크
wp plugin list --status=active | grep -i 'rafflepress'