🇰🇷 한글 설명
WordPress의 微信二维码登陆 플러그인 1.3 이하 버전에서 위챗 웹훅 요청의 서명 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 공격자는 이 취약점을 악용하여 임의의 사용자에 대한 로그인 이벤트를 위조하고 생성된 로그인 코드를 탈취함으로써, 비밀번호 없이 관리자를 포함한 특정 사용자로 로그인할 수 있습니다.
💡 쉬운 설명
로그인 인증 과정에서 보안 확인 절차가 허술하여, 공격자가 가짜 로그인 요청을 보내고 로그인 번호를 가로챌 수 있는 문제입니다. 이를 통해 비밀번호를 몰라도 사이트 관리자 권한을 탈취하여 로그인할 수 있습니다.
🇺🇸 원문 (English)
The 微信二维码登陆 WordPress plugin through 1.3 does not properly validate WeChat webhook requests, as its signature check always passes, and it discloses the generated login code in the webhook response. This allows an unauthenticated attacker to forge a login event for any existing username, read the login code, and redeem it through an unauthenticated AJAX action to log in as that user, including an administrator, without a password.
📍 영향받는 시스템
WordPress 微信二维码登陆 plugin version 1.3 and below
⚔️ 공격 벡터
위조된 위챗 웹훅 요청을 통한 로그인 코드 탈취 및 AJAX 액션을 이용한 인증 우회
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치 버전으로 업데이트하거나 사용 중지하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나고 버전이 1.3 이하인지 확인하십시오.
wp plugin list --all | grep '微信二维码登陆'