🇰🇷 한글 설명
Limit Login Attempts Security WordPress 플러그인 3.4.1 이전 버전은 모든 비밀번호 인증 경로에 2단계 인증을 적용하지 않습니다. 공격자가 보호된 사용자의 비밀번호를 이미 알고 있다면, 대체 로그인 인터페이스를 통해 두 번째 인증 없이 해당 사용자의 접근 권한을 얻을 수 있습니다.
💡 쉬운 설명
이 플러그인은 로그인 시 2단계 인증을 요구하지만, 일부 로그인 경로에서는 이를 검사하지 않습니다. 비밀번호를 아는 공격자는 이 경로를 통해 2단계 인증 없이 사용자 계정에 들어갈 수 있습니다.
🇺🇸 원문 (English)
The Limit Login Attempts Security WordPress plugin before 3.4.1 does not enforce its two-factor authentication on every password-authentication route, so an attacker who already knows a protected user's password can authenticate through an alternative login interface and obtain that user's access without completing the second factor.
📍 영향받는 시스템
WordPress Limit Login Attempts Security 플러그인 3.4.1 이전 버전
⚔️ 공격 벡터
비밀번호를 이미 알고 있는 공격자가 대체 로그인 인터페이스를 이용해 2단계 인증을 우회하여 로그인
🛡️ 대응 방법
플러그인을 3.4.1 이상 버전으로 즉시 업데이트하고, 관리자 계정의 비밀번호를 변경하며 이상 로그인 기록을 점검
🔧 검증 코드
출력된 버전 번호가 3.4.1 미만이면 취약하므로 업데이트가 필요하고, 3.4.1 이상이면 패치된 버전입니다 (명령이 아무 결과도 내지 않으면 해당 플러그인이 설치되지 않은 것입니다).
wp plugin get limit-login-attempts-reloaded --field=version 2>/dev/null || grep -rh "Version:" wp-content/plugins/limit-login-attempts*/limit-login-attempts*.php 2>/dev/null | head -1