🇰🇷 한글 설명
WP 2FA WordPress 플러그인 4.2.0 미만 버전에서 객체 수준 권한 확인이 누락되어 발생합니다. WordPress 멀티사이트 환경의 사이트 관리자가 자신의 사이트 범위를 벗어나 다른 사이트 사용자의 2단계 인증 설정을 삭제할 수 있습니다.
💡 쉬운 설명
멀티사이트를 사용하는 웹사이트에서 특정 관리자가 권한이 없는 다른 사용자의 2단계 보안 설정을 마음대로 끌 수 있는 문제입니다. 이로 인해 다른 사용자의 계정 보안이 취약해질 수 있습니다.
🇺🇸 원문 (English)
The WP 2FA WordPress plugin before 4.2.0 does not perform an object-level capability check before removing a user's two-factor authentication configuration, allowing a site administrator on WordPress Multisite to remove the 2FA configuration of users outside their own site, including accounts they are not permitted to edit. On single-site installs an administrator can already manage all users, so this crosses a trust boundary only on Multisite.
📍 영향받는 시스템
WP 2FA WordPress plugin version < 4.2.0 (WordPress Multisite environment)
⚔️ 공격 벡터
멀티사이트 관리자 권한을 이용한 권한 밖의 사용자 2FA 설정 삭제 요청
🛡️ 대응 방법
WP 2FA 플러그인을 4.2.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.2.0보다 낮은지 확인하십시오.
wp plugin list --name=wp-2fa --format=json | grep -oP '(?<=version":")[^"]+'