🇰🇷 한글 설명
OTP Login With Phone Number WordPress 플러그인 1.8.71 이전 버전에서 OTP 인증 시도 횟수 제한이 없고 잘못된 입력 시에도 코드가 무효화되지 않는 취약점이 발견되었습니다. 공격자는 인증되지 않은 상태에서 임의의 계정에 대해 OTP 코드를 요청한 뒤, 짧은 숫자 코드를 무차별 대입(Brute-force)하여 관리자를 포함한 모든 계정을 탈취할 수 있습니다.
💡 쉬운 설명
로그인할 때 사용하는 일회용 비밀번호(OTP)를 맞출 때까지 계속 시도할 수 있는 보안 허점이 있습니다. 해커가 숫자를 무작위로 계속 입력하다 보면 결국 비밀번호를 맞추게 되어 다른 사람의 계정을 뺏을 수 있습니다.
🇺🇸 원문 (English)
The OTP Login With Phone Number, OTP Verification WordPress plugin before 1.8.71 does not limit the number of OTP verification attempts or invalidate a one-time login code after a wrong guess, and an unauthenticated user can request a login code for any account. Because the code is a short numeric OTP, an attacker can brute-force it and take over any account, including an administrator's.
📍 영향받는 시스템
OTP Login With Phone Number WordPress plugin version < 1.8.71
⚔️ 공격 벡터
인증되지 않은 사용자가 임의의 계정에 대해 짧은 숫자 OTP를 무차별 대입(Brute-force)하여 계정 탈취
🛡️ 대응 방법
OTP Login With Phone Number 플러그인을 최신 버전(1.8.71 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 해당 플러그인의 버전이 1.8.71 미만인지 확인하십시오.
wp plugin list --status=active | grep 'otp-login-with-phone-number'