🇰🇷 한글 설명
Chat On Desk Order Notifications WordPress 플러그인 1.0.9 미만 버전에서 일회용 비밀번호(OTP) 검증 절차를 누락하는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 관리자를 포함한 임의 사용자의 비밀번호를 재설정하고 계정을 탈취할 수 있습니다.
💡 쉬운 설명
비밀번호를 바꿀 때 입력해야 하는 인증 번호를 확인하지 않고 바로 비밀번호를 바꿔버리는 결함이 있습니다. 이로 인해 해커가 아무런 권한 없이도 관리자 계정을 뺏을 수 있습니다.
🇺🇸 원문 (English)
The Chat On Desk Order Notifications WordPress plugin before 1.0.9 does not verify that the one-time password has been validated before processing a password-reset request, allowing unauthenticated attackers to reset the password of arbitrary users, including administrators, and take over their accounts when SMS one-time-password password reset is enabled.
📍 영향받는 시스템
Chat On Desk Order Notifications WordPress plugin version < 1.0.9
⚔️ 공격 벡터
인증되지 않은 공격자가 SMS OTP 검증 단계를 우회하여 비밀번호 재설정 요청을 전송
🛡️ 대응 방법
Chat On Desk Order Notifications 플러그인을 1.0.9 버전 이상으로 즉시 업데이트
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전이 1.0.9 미만인지 확인
wp plugin list --status=active | grep -i 'chat-on-desk-order-notifications'