🇰🇷 한글 설명
Limit Login Attempts Security WordPress 플러그인 3.4.1 이전 버전은 2단계 인증 단계가 성공했는지 확인하지 않고 로그인을 완료하며, 해당 단계 생성 실패를 성공으로 처리합니다. 따라서 공격자가 보호된 사용자의 비밀번호를 보유하고 있다면 특정 요청 헤더를 보내 2단계 인증을 우회할 수 있습니다.
💡 쉬운 설명
이 플러그인은 WordPress 사이트의 로그인 시도를 제한하고 2단계 인증을 제공하는 보안 도구입니다. 오래된 버전에서는 2단계 인증 확인에 실패해도 로그인이 허용되는 결함이 있어, 비밀번호만 알면 추가 인증을 건너뛸 수 있습니다.
🇺🇸 원문 (English)
The Limit Login Attempts Security WordPress plugin before 3.4.1 does not confirm that its two-factor authentication step succeeded before completing a login and treats a failure to build that step as success, so an attacker who holds a protected user's password can bypass the second factor by sending a request header that breaks the step.
📍 영향받는 시스템
Limit Login Attempts Security WordPress 플러그인 3.4.1 미만 버전
⚔️ 공격 벡터
비밀번호를 탈취한 공격자가 2단계 인증 단계를 깨뜨리는 특정 요청 헤더를 보내 2FA를 우회하고 로그인합니다.
🛡️ 대응 방법
플러그인을 3.4.1 이상 버전으로 즉시 업데이트하고, 관리자 계정 비밀번호를 변경하며 비정상 로그인 기록을 점검하세요.
🔧 검증 코드
출력된 버전 번호가 3.4.1 미만이면 취약하며, 3.4.1 이상이거나 설치 결과가 없으면 영향 없음 또는 미설치 상태입니다.
wp plugin get limit-login-attempts-reloaded --field=version 2>/dev/null || grep -h -A2 'Plugin Name' /var/www/*/wp-content/plugins/limit-login-attempts*/limit-login-attempts*.php 2>/dev/null | grep -i version