🇰🇷 한글 설명
miniOrange 2FA WordPress 플러그인 6.2.7 미만 버전에서 발생하는 취약점으로, 로그인 전 2단계 인증 설정 과정에서 인증 수단이 대상 계정에 올바르게 결합되지 않습니다. 공격자가 사용자의 비밀번호를 알고 있다면 2단계 인증 수단을 공격자가 제어하는 대상으로 재설정하여 계정을 탈취할 수 있습니다.
💡 쉬운 설명
사용자의 비밀번호를 아는 해커가 로그인 과정에서 2단계 인증 번호를 자신의 휴대폰으로 오도록 몰래 바꿔치기할 수 있는 문제입니다. 이를 통해 관리자 계정까지 통째로 뺏길 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
The miniOrange 2FA WordPress plugin before 6.2.7 does not bind the second factor being configured during the pre-login two-factor challenge to the target account's existing factor, allowing an attacker who knows a user's password to rebind that user's second factor to an attacker-controlled destination, complete the challenge, and take over the account, including administrator accounts.
📍 영향받는 시스템
miniOrange 2FA WordPress plugin version < 6.2.7
⚔️ 공격 벡터
사용자 비밀번호를 탈취한 후, 2단계 인증 설정 단계에서 인증 수단을 공격자의 것으로 재결합(Rebinding)하여 계정 탈취
🛡️ 대응 방법
miniOrange 2FA WordPress 플러그인을 최신 버전(6.2.7 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 6.2.7 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'miniorange' && wp plugin list --all | grep -E 'miniorange' | awk '{print $2 " " $3}'