🇰🇷 한글 설명
WPOrLogin WordPress 플러그인 3.1.0 이전 버전은 숨김 로그인 URL 설정을 변경하기 전에 권한 검사와 nonce 검증을 수행하지 않습니다. 이로 인해 인증되지 않은 공격자가 로그인, 회원가입, 비밀번호 찾기 슬러그를 재지정하여 관리자가 로그인 화면에 접근하지 못하게 할 수 있습니다.
💡 쉬운 설명
이 플러그인은 워드프레스 로그인 페이지의 주소를 바꿔주는 도구입니다. 누구든지 이 주소 설정을 바꿀 수 있는 취약점이 있어, 관리자가 자신의 사이트에 로그인하지 못하게 될 수 있습니다.
🇺🇸 원문 (English)
The WPOrLogin WordPress plugin before 3.1.0 does not perform a capability check or validate a nonce before updating its hidden-login URL settings, which could allow unauthenticated attackers to reassign the login, registration and password-recovery slugs and lock the administrator out of the login interface.
📍 영향받는 시스템
WPOrLogin WordPress 플러그인 3.1.0 미만 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 취약한 설정 변경 요청을 보내 로그인/회원가입/비밀번호 찾기 슬러그를 임의 값으로 변경
🛡️ 대응 방법
WPOrLogin 플러그인을 3.1.0 이상으로 업데이트하고, 변경된 로그인 URL 설정을 점검하여 필요 시 복구
🔧 검증 코드
출력된 버전이 3.1.0 이상이면 취약점이 해결된 것이며, 3.1.0 미만이면 즉시 업데이트가 필요합니다.
wp plugin get wporlogin --field=version 2>/dev/null || grep -m1 'Version:' wp-content/plugins/wporlogin/*.php 2>/dev/null