🇰🇷 한글 설명
WordPress용 miniOrange Social Login and Register 플러그인 7.7.0 이하 버전에서 인증 우회 및 계정 탈취 취약점이 발견되었습니다. 공격자는 이메일 필드 조작과 취약한 OTP 해시 노출을 악용하여 관리자 계정으로 로그인을 시도할 수 있습니다.
💡 쉬운 설명
로그인 과정에서 사용하는 일회용 비밀번호(OTP)가 보안에 취약하게 노출되어, 해커가 이를 아주 빠르게 계산해낼 수 있습니다. 이를 통해 해커는 관리자의 이메일 주소만 알면 관리자 권한을 통째로 뺏을 수 있습니다.
🇺🇸 원문 (English)
The miniOrange Social Login and Register (Discord, Google, Twitter, LinkedIn) plugin for WordPress is vulnerable to authentication bypass leading to account takeover in versions up to and including 7.7.0. This is due to the Profile Completion flow accepting an arbitrary email address via the 'email_field' POST parameter without verifying that the email belongs to the identity returned by the OAuth provider, combined with send_otp_token() returning the SHA-512(customer_key || otp) transaction hash to the client where the OTP space is only 99,000 values (wp_rand(1000, 99999)) and the customer_key is a static option (empty on unregistered installs). This makes it possible for unauthenticated attackers to trigger an OTP email to an arbitrary admin's address, crack the OTP offline from the leaked hash in under a second, and submit the cracked OTP to mo_openid_social_login_validate_otp(), which logs the attacker in as the user whose email was supplied — granting full administrator access.
📍 영향받는 시스템
miniOrange Social Login and Register (Discord, Google, Twitter, LinkedIn) plugin for WordPress <= 7.7.0
⚔️ 공격 벡터
임의의 이메일 주소를 입력하여 OTP를 요청한 뒤, 클라이언트에 노출된 해시값을 이용해 OTP를 무차별 대입(Brute-force)하여 인증을 통과함
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
플러그인 목록에서 miniOrange 관련 플러그인이 설치되어 있는지 확인하고, 버전이 7.7.0 이하인지 체크합니다.
wp plugin list --status=active | grep -i 'miniorange' && wp plugin list --all | grep -E 'miniorange.*7\[0-7\]\.'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Security Verify Access