🔍 CVE-2026-123091

7.5
CVSS Score
HIGH
2026-11-09
2026-11-09 15:17
✅ 완료

🇰🇷 한글 설명

Vigilant WordPress 플러그인 2.11.0 이전 버전은 기본 WordPress 로그인 폼 이외의 로그인 폼에서 2단계 인증을 강제하지 않습니다. 따라서 비밀번호를 알고 있는 공격자는 두 번째 인증 단계를 우회하고 해당 사용자로 로그인할 수 있습니다.

💡 쉬운 설명

이 플러그인을 쓰는 사이트는 2단계 인증을 켜 두었더라도 일부 로그인 페이지에서는 그 보호가 적용되지 않습니다. 공격자가 비밀번호만 알아내면 추가 인증 없이 계정에 들어갈 수 있습니다.

🇺🇸 원문 (English)

The Vigilant WordPress plugin before 2.11.0 does not enforce its two-factor authentication on login forms other than the default WordPress one, allowing an attacker who knows a user's password to skip the second factor and log in as that user.

📍 영향받는 시스템

Vigilant WordPress 플러그인 2.11.0 미만 버전이 설치된 WordPress 사이트

⚔️ 공격 벡터

탈취하거나 유출된 사용자 비밀번호를 이용해 기본이 아닌 로그인 폼으로 접속하여 2단계 인증을 건너뛰고 로그인

🛡️ 대응 방법

Vigilant 플러그인을 2.11.0 이상으로 업데이트하고, 업데이트 후 모든 로그인 경로에서 2단계 인증이 적용되는지 확인

🔧 검증 코드

출력된 version 값이 2.11.0 미만이면 취약한 상태이며, 2.11.0 이상이거나 결과가 없으면 취약 버전이 아니거나 설치되지 않은 것입니다

Shell / Script 
wp plugin list --name=vigilant --fields=name,version,status 2>/dev/null || find /var/www -path '*/wp-content/plugins/vigilant*' -name '*.php' -maxdepth 6 2>/dev/null | head -n 5 | xargs grep -h -m1 'Version:' 2>/dev/null

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

WordPress