🇰🇷 한글 설명
Admin Safety Guard — Login Security, Limit Logins, 2FA & Brute Force Protection WordPress 플러그인 1.4.0 미만 버전에서 REST API 엔드포인트에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 사용자 이름, 이메일 주소, 역할 및 2단계 인증 등록 상태를 포함한 전체 사용자 목록을 탈취할 수 있습니다.
💡 쉬운 설명
로그인 보안을 도와주는 플러그인에 허점이 있어, 아무나 웹사이트에 등록된 사용자들의 개인정보를 몰래 볼 수 있는 문제입니다. 공격자가 이 정보를 이용해 아이디와 이메일을 수집하고 해킹 공격을 시도할 수 있습니다.
🇺🇸 원문 (English)
The Admin Safety Guard — Login Security, Limit Logins, 2FA & Brute Force Protection WordPress plugin before 1.4.0 does not perform any capability check on one of its REST API endpoints, allowing unauthenticated attackers to retrieve the full list of registered users including their usernames, email addresses, roles, and two-factor authentication enrollment status.
📍 영향받는 시스템
Admin Safety Guard — Login Security, Limit Logins, 2FA & Brute Force Protection WordPress plugin version < 1.4.0
⚔️ 공격 벡터
인증되지 않은 공격자가 취약한 REST API 엔드포인트에 직접 요청을 보내 사용자 정보를 조회함
🛡️ 대응 방법
해당 플러그인을 최신 버전인 1.4.0 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치 여부를 확인하고, 설치된 버전이 1.4.0 미만인지 반드시 체크하십시오.
wp plugin list --status=active | grep -i 'admin-safety-guard'