🇰🇷 한글 설명
FraudLabs Pro SMS Verification 워드프레스 플러그인 1.12.1 이하 버전은 서버 측에서 SMS 재전송 횟수 제한을 강제하지 않습니다. 이로 인해 인증되지 않은 사용자가 공격자가 지정한 전화번호로 무제한 인증 SMS를 보낼 수 있어, 사이트 소유자의 유료 SMS 크레딧이 고갈되고 제3자에게 스팸이 전송될 수 있습니다.
💡 쉬운 설명
이 플러그인은 문자 인증 메시지를 보내는 횟수를 서버에서 제한하지 않습니다. 누구든 로그인 없이 이 기능을 반복 호출해 사이트 주인의 문자 요금을 바닥내고 아무 사람에게나 스팸 문자를 보낼 수 있습니다.
🇺🇸 원문 (English)
The FraudLabs Pro SMS Verification WordPress plugin through 1.12.1 does not enforce its SMS-retry limit on the server side, allowing unauthenticated users to send an unlimited number of verification SMS messages to attacker-chosen phone numbers, exhausting the site owner's paid SMS credits and spamming arbitrary third parties.
📍 영향받는 시스템
FraudLabs Pro SMS Verification WordPress 플러그인 1.12.1 이하 버전
⚔️ 공격 벡터
인증 없이 SMS 인증 요청 엔드포인트를 반복 호출하여 임의의 전화번호로 무제한 SMS 발송
🛡️ 대응 방법
플러그인을 수정된 최신 버전으로 업데이트하거나, 서버 측에서 IP·전화번호별 재전송 횟수 제한 및 쿨다운을 구현
🔧 검증 코드
출력된 version 값이 1.12.1 이하이면 취약 가능성이 있으며, 1.12.1보다 높은 버전이거나 플러그인이 설치되지 않았다면 해당 CVE의 영향을 받지 않습니다.
wp plugin list --name=fraudlabs-pro-sms-verification --fields=name,version,status 2>/dev/null || grep -rE "Version:" /var/www/html/wp-content/plugins/fraudlabs-pro-sms-verification/*.php 2>/dev/null | head -n 5