🇰🇷 한글 설명
Temporary Login Without Password WordPress 플러그인 1.9.9 미만 버전에서 네트워크 슈퍼 관리자 권한 확인 절차가 누락되었습니다. 이로 인해 멀티사이트 네트워크의 단일 사이트 관리자가 전체 네트워크를 장악하거나 기존 계정의 권한을 승격시킬 수 있습니다.
💡 쉬운 설명
워드프레스 플러그인의 보안 허점으로 인해, 일반 관리자가 전체 사이트 네트워크를 관리하는 최고 권한을 몰래 획득할 수 있는 문제입니다. 공격자가 자신의 계정 권한을 높여 사이트 전체를 통제할 위험이 있습니다.
🇺🇸 원문 (English)
The Temporary Login Without Password WordPress plugin before 1.9.9 does not verify that the user requesting a temporary login holds network super admin rights before granting the new account those rights, allowing an administrator of a single site on a multisite network to take over the whole network. The same missing check also allows an existing account, including the attacker's own, to be promoted.
📍 영향받는 시스템
WordPress 'Temporary Login Without Password' plugin version < 1.9.9
⚔️ 공격 벡터
권한 검증이 누락된 플러그인 기능을 악용하여 임시 로그인 계정에 네트워크 슈퍼 관리자 권한 부여
🛡️ 대응 방법
Temporary Login Without Password 플러그인을 최신 버전(1.9.9 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.9.9보다 낮으면 취약한 상태이며, 1.9.9 이상이면 안전합니다.
wp plugin list --name='temporary-login-without-password' --format=json | grep -oP '(?<=version":")[^"]+'