🇰🇷 한글 설명
Quiz and Survey Master (QSM) WordPress 플러그인 11.1.3 미만 버전에서 사용자 이름 열거 및 무차별 대입 공격이 가능합니다. 해당 기능은 속도 제한이나 로그인 실패 감사 기능이 없으며, 유효한 계정과 유효하지 않은 계정에 대해 서로 다른 응답을 반환하여 공격자가 계정 정보를 식별할 수 있게 합니다.
💡 쉬운 설명
로그인 확인 과정에서 아이디가 맞는지 틀린지를 알려주는 허점이 있어, 해커가 아이디를 알아내고 비밀번호를 계속 입력해 볼 수 있습니다. 이로 인해 실제 사용자의 계정이 탈취될 위험이 있습니다.
🇺🇸 원문 (English)
The Quiz and Survey Master (QSM) WordPress plugin before 11.1.3 does not implement rate limiting or standard failed-login auditing on its front-end credential-check functionality and returns distinct responses for valid and invalid accounts, allowing unauthenticated attackers to enumerate valid usernames and to brute-force passwords while bypassing brute-force protection Quiz and Survey Master (QSM) WordPress plugin before 11.1.3.
📍 영향받는 시스템
Quiz and Survey Master (QSM) WordPress plugin version < 11.1.3
⚔️ 공격 벡터
인증되지 않은 공격자가 프론트엔드 자격 증명 확인 기능을 통해 사용자 이름을 열거하고 무차별 대입 공격을 수행함
🛡️ 대응 방법
Quiz and Survey Master (QSM) 플러그인을 11.1.3 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 11.1.3 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'quiz-and-survey-master'