🇰🇷 한글 설명
Authora : Easy login with mobile number WordPress 플러그인 1.7.7 미만 버전에서 일회용 로그인 코드가 유출되는 취약점이 발견되었습니다. 인증되지 않은 공격자가 응답값에서 코드와 검증 토큰을 탈취하여 관리자를 포함한 임의의 사용자로 로그인하거나 새로운 계정을 생성할 수 있습니다.
💡 쉬운 설명
로그인할 때 사용하는 일회용 비밀번호가 외부로 노출되는 보안 결함이 있습니다. 이를 통해 해커가 전화번호만 알면 다른 사람의 계정으로 몰래 접속할 수 있습니다.
🇺🇸 원문 (English)
The Authora : Easy login with mobile number WordPress plugin before 1.7.7 does not keep its one-time login code confidential, returning the code and a valid verification token in the response of an unauthenticated action, allowing unauthenticated attackers to log in as any user whose registered mobile number they know (including administrators) or to create arbitrary accounts.
📍 영향받는 시스템
Authora : Easy login with mobile number WordPress plugin 1.7.7 미만 버전
⚔️ 공격 벡터
인증되지 않은 상태에서 플러그인의 특정 동작을 호출하여 응답값에 포함된 로그인 코드와 토큰을 탈취함
🛡️ 대응 방법
해당 플러그인을 최신 버전인 1.7.7 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 1.7.7 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'authora' && wp plugin list --all | grep -E 'authora' | awk '{print $2 " " $3}'