🇰🇷 한글 설명
WP 2FA WordPress 플러그인 4.1.0 미만 버전에서 로그인 시 지원되는 인증 방법 중 하나를 선택할 경우 2차 인증 요소를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 사용자의 비밀번호를 알고 있는 공격자가 2차 인증을 우회하여 관리자 계정을 포함한 모든 계정에 완전히 접근할 수 있습니다.
💡 쉬운 설명
로그인할 때 비밀번호 외에 추가로 입력해야 하는 보안 코드를 확인하지 않는 오류가 있습니다. 해커가 비밀번호만 알아내면 추가 인증 없이 바로 계정을 탈취할 수 있습니다.
🇺🇸 원문 (English)
The WP 2FA WordPress plugin before 4.1.0 does not validate the second authentication factor when one of its supported methods is selected at login, allowing an attacker who already knows a user's password to bypass two-factor authentication and fully access the account, including administrator accounts.
📍 영향받는 시스템
WP 2FA WordPress plugin version < 4.1.0
⚔️ 공격 벡터
이미 탈취한 사용자 비밀번호를 사용하여 로그인 시 2차 인증 단계를 건너뛰는 방식
🛡️ 대응 방법
WP 2FA 플러그인을 최신 버전(4.1.0 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 wp-2fa가 나타나고 버전이 4.1.0 미만이면 취약한 상태입니다.
wp plugin list --allow-root | grep -E 'wp-2fa' | grep -v '4.1.0'