무슨 일이 있었나
WordPress AI content-generation plugin에서 critical(CVSS 9.8) privilege escalation 취약점이 공개되었으며, 이는 Google AI 서비스를 호출하는 함수에서 missing permission check로 인해 발생했습니다.
왜 중요한가
WordPress AI plugins는 제한된 security operations이 있는 small-to-mid-size 사이트에 광범위하게 설치됩니다. AI-integration 엔드포인트의 missing capability checks는 low-privileged 또는 인증되지 않은 배우들이 사이트의 connected AI/Google API 자격증을 남용하거나 CMS 내에서 privileges를 권한 상승하도록 합니다.
공격 경로
plugin의 aiomatic_call_google_ai_function은 capability check가 없어 minimal privileges(예: Subscriber-level)이 있는 공격자가 관리자만 의도한 권한 있는 AI-integration 함수를 호출하도록 합니다.
영향받는 시스템
Aimogen Pro – All-in-One AI Content Writer, Editor, ChatBot & Automation Toolkit (WordPress plugin) 2.8.4까지 및 포함
완화 방안
vendor changelog에 따라 missing capability check를 복원하는 버전으로 Aimogen Pro / AIomatic plugin을 업데이트하세요.