🇰🇷 한글 설명
Temporary Login Without Password WordPress 플러그인 1.9.9 미만 버전에서 임시 사용자가 애플리케이션 비밀번호를 생성하는 것을 방지하지 못하는 취약점이 발견되었습니다. 임시 액세스가 만료되거나 비활성화되어도 생성된 애플리케이션 비밀번호가 취소되지 않아, 공격자가 REST 및 XML-RPC를 통해 사이트에 지속적으로 접근할 수 있습니다. 이로 인해 부여된 권한(주로 관리자 권한)을 유지하며 사이트를 계속 제어할 수 있습니다.
💡 쉬운 설명
임시로 로그인 권한을 빌려준 뒤 권한을 회수해도, 상대방이 몰래 만든 '비밀 통로'가 사라지지 않는 문제입니다. 이 통로를 통해 권한이 만료된 후에도 관리자처럼 사이트를 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
The Temporary Login Without Password WordPress plugin before 1.9.9 does not prevent a temporary user from creating an Application Password, and does not revoke one when the temporary access expires or is disabled, allowing the recipient of a temporary login to retain working access to the site over REST and XML-RPC after the administrator believes it has been withdrawn. The retained access carries whatever role was granted, which for the Temporary Login Without Password WordPress plugin before 1.9.9's main use case is Administrator.
📍 영향받는 시스템
WordPress 'Temporary Login Without Password' plugin version < 1.9.9
⚔️ 공격 벡터
임시 로그인 권한을 가진 사용자가 애플리케이션 비밀번호를 생성하여 만료 후에도 REST/XML-RPC를 통해 지속적 접근
🛡️ 대응 방법
Temporary Login Without Password 플러그인을 1.9.9 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 1.9.9 미만인지 체크하십시오.
wp plugin list --status=active | grep 'temporary-login-without-password'