🇰🇷 한글 설명
WP OAuth Server (Login with WordPress) 플러그인 6.3.1 미만 버전에서 디버그 로그에 대한 접근 제한이 누락되었습니다. 디버그 로깅이 활성화된 경우, 인증되지 않은 사용자가 공개적으로 접근 가능한 로그 파일을 통해 OAuth 토큰, 권한 부여 코드 및 비밀번호 해시를 포함한 사용자 기록을 읽을 수 있습니다.
💡 쉬운 설명
로그 파일이 누구나 볼 수 있는 곳에 저장되어 있어, 해커가 로그인 정보나 비밀번호 암호화 데이터를 훔쳐갈 수 있는 문제입니다. 디버그 기능이 켜져 있을 때 특히 위험합니다.
🇺🇸 원문 (English)
The WP OAuth Server ( Login with WordPress ) WordPress plugin before 6.3.1 does not restrict access to the debug log it writes, which is stored at a fixed and publicly reachable location, allowing unauthenticated users to read the OAuth tokens and authorisation codes it has issued as well as user records including password hashes when debug logging is enabled.
📍 영향받는 시스템
WP OAuth Server (Login with WordPress) plugin versions before 6.3.1
⚔️ 공격 벡터
공개적으로 노출된 디버그 로그 파일 경로에 대한 직접적인 HTTP 요청을 통한 정보 탈취
🛡️ 대응 방법
WP OAuth Server 플러그인을 6.3.1 버전 이상으로 업데이트하고, 운영 환경에서 디버그 로깅을 비활성화하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 WP OAuth Server의 버전을 확인하여 6.3.1 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'wp-oauth-server'