🇰🇷 한글 설명
Limit Login Attempts Reloaded WordPress 플러그인 3.3.5 미만 버전에서 사용자 이름 차단 목록을 대소문자 구분 없이 비교하지 않으며 이메일 주소를 고려하지 않는 취약점이 발견되었습니다. 이로 인해 관리자가 차단하려 했던 계정이 인증을 통과하여 로그인할 수 있는 문제가 발생합니다.
💡 쉬운 설명
차단 목록에 등록된 아이디를 대소문자만 살짝 바꿔서 입력하면 차단을 피해 로그인할 수 있는 보안 허점이 있습니다. 또한 이메일 주소를 이용한 우회도 가능하여 관리자의 차단 설정이 무력화될 수 있습니다.
🇺🇸 원문 (English)
The Limit Login Attempts Reloaded WordPress plugin before 3.3.5 does not compare logins against its username denylist case-insensitively and does not account for the account's email address, allowing an account an administrator intended to block from logging in to authenticate anyway.
📍 영향받는 시스템
Limit Login Attempts Reloaded WordPress plugin version < 3.3.5
⚔️ 공격 벡터
차단된 사용자 이름의 대소문자를 변경하거나 이메일 주소를 활용한 로그인 시도
🛡️ 대응 방법
Limit Login Attempts Reloaded 플러그인을 3.3.5 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 3.3.5 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'limit-login-attempts-reloaded'