🇰🇷 한글 설명
WP 2FA WordPress 플러그인 4.1.0 미만 버전에서 시간 기반 일회용 비밀번호(TOTP)가 사용 후에도 무효화되지 않는 취약점이 발견되었습니다. 공격자가 계정 비밀번호를 알고 유효 시간 내의 코드를 탈취했다면, 해당 코드를 재사용하여 관리자 계정을 포함한 2단계 인증을 우회할 수 있습니다.
💡 쉬운 설명
한 번 사용한 보안 번호가 다시 사용될 수 있는 결함이 있습니다. 해커가 비밀번호와 사용된 보안 번호를 알아내면 2단계 인증을 통과해 계정을 뺏을 수 있습니다.
🇺🇸 원문 (English)
The WP 2FA WordPress plugin before 4.1.0 does not invalidate a time-based one-time passcode once it has been used, allowing an attacker who knows an account's password and has observed a valid code within its validity window to replay it and bypass two-factor authentication, including on administrator accounts.
📍 영향받는 시스템
WP 2FA WordPress plugin version < 4.1.0
⚔️ 공격 벡터
탈취한 유효한 TOTP 코드를 재사용하는 재생 공격(Replay Attack)
🛡️ 대응 방법
WP 2FA 플러그인을 4.1.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.1.0보다 낮으면 취약한 상태입니다.
wp plugin list --name wp-2fa --format=json | grep -oP '(?<=version":")[^"]+'