🇰🇷 한글 설명
miniOrange 2FA WordPress 플러그인 6.2.7 미만 버전에서 2단계 인증 OTP 발송 제한이 미흡한 취약점이 발견되었습니다. 권한이 낮은 사용자가 임의의 수신자에게 OTP 이메일을 발송하거나 사이트의 OTP 허용량을 소진시켜 정상적인 사용자의 인증을 방해할 수 있습니다.
💡 쉬운 설명
낮은 권한을 가진 사용자가 남의 이메일로 인증 번호를 계속 보내게 하거나, 사이트의 인증 번호 발송 한도를 다 써버려 다른 사람들이 로그인을 못 하게 방해할 수 있는 문제입니다.
🇺🇸 원문 (English)
The miniOrange 2FA WordPress plugin before 6.2.7 does not restrict who can trigger its second-factor configuration OTP send, nor bind the OTP recipient to the enrolling user's own address, allowing a low-privileged user to send one-time-passcode emails to arbitrary recipients and to exhaust the site's metered OTP allowance, preventing legitimate users from receiving their second-factor codes.
📍 영향받는 시스템
miniOrange 2FA WordPress plugin version < 6.2.7
⚔️ 공격 벡터
낮은 권한의 사용자가 OTP 발송 기능을 악용하여 임의의 이메일 주소로 요청을 보내는 방식
🛡️ 대응 방법
miniOrange 2FA WordPress 플러그인을 6.2.7 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 6.2.7 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'miniorange-2fa' && wp plugin list --format=json | jq -r '.[] | select(.name=="miniorange-2fa") | .version'