🇰🇷 한글 설명
miniOrange 2FA WordPress 플러그인 6.2.8 미만 버전에서 2단계 인증 시도 횟수를 제한하는 로직에 결함이 있습니다. 공격자가 사용자의 비밀번호를 알고 있는 경우, 클라이언트가 제공하는 식별자를 이용해 무제한으로 OTP 코드를 추측하여 계정을 탈취할 수 있습니다.
💡 쉬운 설명
로그인할 때 입력하는 추가 인증 번호를 맞출 때까지 무한정 계속 시도할 수 있는 보안 허점이 발견되었습니다. 이미 비밀번호를 아는 해커가 이 허점을 이용하면 인증 번호를 무작위로 찍어서 맞춘 뒤 계정을 뺏을 수 있습니다.
🇺🇸 원문 (English)
The miniOrange 2FA WordPress plugin before 6.2.8 does not correctly limit the number of second-factor verification attempts, tracking them against a client-supplied identifier that is reissued on every login, allowing an attacker who already knows a user's password to guess the one-time code without limit and take over the account.
📍 영향받는 시스템
miniOrange 2FA WordPress plugin version < 6.2.8
⚔️ 공격 벡터
이미 탈취한 비밀번호를 사용하여 로그인 시도 후, 제한 없는 OTP 무차별 대입 공격(Brute-force attack)
🛡️ 대응 방법
miniOrange 2FA WordPress 플러그인을 최신 버전인 6.2.8 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 6.2.8 미만인지 확인하여 취약 여부를 판단합니다.
wp plugin list --allow-root | grep -E 'miniOrange 2FA'