🇰🇷 한글 설명
miniOrange 2FA WordPress 플러그인 6.2.6 미만 버전에서 제출된 일회용 비밀번호(OTP)를 대상 사용자의 저장된 비밀값과 대조하지 않고 공격자가 제공한 값과 검증하는 취약점이 발견되었습니다. 이를 통해 공격자는 피해자의 비밀번호를 알고 있을 경우 2단계 인증을 우회하여 관리자를 포함한 피해자 계정에 접근할 수 있습니다.
💡 쉬운 설명
로그인할 때 입력하는 2차 인증 번호를 시스템이 제대로 확인하지 않고 공격자가 보낸 가짜 번호를 그대로 받아들이는 문제입니다. 따라서 비밀번호만 알면 추가 인증 없이도 남의 계정에 쉽게 들어갈 수 있습니다.
🇺🇸 원문 (English)
The miniOrange 2FA WordPress plugin before 6.2.6 does not validate the submitted one-time password against the targeted user's stored secret, instead verifying it against an attacker-supplied value, allowing an unauthenticated attacker who knows a victim's password to bypass two-factor authentication and gain access to the victim's account, including administrators.
📍 영향받는 시스템
miniOrange 2FA WordPress plugin version < 6.2.6
⚔️ 공격 벡터
인증되지 않은 공격자가 피해자의 비밀번호를 이용해 2단계 인증(OTP) 검증 과정을 조작하여 우회함
🛡️ 대응 방법
miniOrange 2FA WordPress 플러그인을 최신 버전(6.2.6 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 6.2.6 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'miniOrange 2FA'