🇰🇷 한글 설명
WordPress용 Felan Framework 플러그인 1.1.4 이하 버전에서 인증 미흡 취약점이 발견되었습니다. 'fb_ajax_login_or_register' 및 'google_ajax_login_or_register' 함수 내에 하드코딩된 비밀번호가 존재하여, 소셜 로그인을 사용하고 비밀번호를 변경하지 않은 사용자로 인증 없이 로그인할 수 있습니다.
💡 쉬운 설명
플러그인 코드 안에 비밀번호가 미리 적혀 있어, 누구나 다른 사람의 계정으로 몰래 들어갈 수 있는 문제입니다. 특히 페이스북이나 구글로 로그인한 사용자의 계정이 위험합니다.
🇺🇸 원문 (English)
The Felan Framework plugin for WordPress is vulnerable to improper authentication in versions up to, and including, 1.1.4. This is due to the hardcoded password in the 'fb_ajax_login_or_register' function and in the 'google_ajax_login_or_register' function. This makes it possible for unauthenticated attackers to log in as any existing user on the site, if they registered with facebook or google social login and did not change their password. CVE-2025-23504 is likely a duplicate of this issue.
📍 영향받는 시스템
WordPress Felan Framework plugin versions up to and including 1.1.4
⚔️ 공격 벡터
인증되지 않은 공격자가 하드코딩된 비밀번호를 이용하여 소셜 로그인 사용자의 계정으로 탈취 시도
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, 소셜 로그인 사용자가 별도의 비밀번호를 설정하도록 강제해야 합니다.
🔧 검증 코드
출력된 결과에서 Felan Framework 플러그인의 설치 여부와 버전을 확인하여 취약 버전인지 판단합니다.
wp plugin list --status=active | grep -i 'felan-framework'