🇰🇷 한글 설명
BlogVault Backup & Staging, MalCare Security, WP Remote WordPress 플러그인의 6.65 미만 버전에서 인증되지 않은 사용자가 사이트 관리 서비스와 연결된 비밀 키를 탈취할 수 있는 취약점이 발견되었습니다. 취약한 의사 난수 생성기(PRNG)를 사용하여 생성된 비밀 키를 공격자가 복구할 수 있으며, 이를 통해 사이트의 관리자 권한을 획득할 수 있습니다.
💡 쉬운 설명
해커가 사이트 관리용 비밀번호를 예측하여 알아낼 수 있는 보안 결함이 있습니다. 이 비밀번호를 알아내면 누구나 관리자 권한으로 사이트에 접속하여 모든 권한을 휘두를 수 있습니다.
🇺🇸 원문 (English)
The BlogVault Backup & Staging WordPress plugin before 6.65, MalCare WordPress Security Plugin WordPress plugin before 6.65, The WP Remote WordPress Plugin WordPress plugin before 6.65 do not prevent unauthenticated users from obtaining data derived from the secret that binds a site to its remote management service, and generate that secret with a weak pseudo-random number generator, allowing attackers to recover it and gain administrative access to the site.
📍 영향받는 시스템
BlogVault Backup & Staging (< 6.65), MalCare WordPress Security (< 6.65), WP Remote WordPress (< 6.65)
⚔️ 공격 벡터
취약한 난수 생성기를 이용해 예측 가능한 비밀 키를 복구한 후 관리자 권한 탈취
🛡️ 대응 방법
해당 플러그인들을 최신 버전(6.65 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록의 버전을 확인하여 6.65 미만인지 체크하십시오.
wp plugin list --status=active | grep -E 'blogvault|malcare|wp-remote'