🇰🇷 한글 설명
miniOrange 2FA WordPress 플러그인 6.3.1 미만 버전에서 발생하는 취약점입니다. 사용자의 비밀번호를 알고 있는 공격자가 이미 패스키가 설정된 계정에 자신의 패스키를 추가로 등록하여 2단계 인증을 우회할 수 있습니다.
💡 쉬운 설명
비밀번호를 아는 해커가 사용자의 계정에 자신의 인증 수단을 몰래 추가할 수 있는 문제입니다. 이로 인해 해커가 2차 인증을 통과하여 계정을 탈취할 수 있습니다.
🇺🇸 원문 (English)
The miniOrange 2FA WordPress plugin before 6.3.1 does not prevent a pending passkey login from registering an additional passkey on an account that already has one configured, allowing an attacker who knows a user's password to add their own authenticator and bypass the second factor.
📍 영향받는 시스템
miniOrange 2FA WordPress plugin version < 6.3.1
⚔️ 공격 벡터
사용자 비밀번호를 탈취한 후, 대기 중인 패스키 로그인 기능을 악용하여 공격자의 인증 수단을 추가 등록
🛡️ 대응 방법
miniOrange 2FA WordPress 플러그인을 6.3.1 이상 버전으로 즉시 업데이트
🔧 검증 코드
출력된 플러그인 목록에서 miniOrange 2FA의 버전이 6.3.1 미만인지 확인합니다.
wp plugin list --allow-root | grep -E 'miniOrange 2FA'