🇰🇷 한글 설명
miniOrange 2FA WordPress 플러그인 6.3.1 및 19.3 미만 버전에서 인증되지 않은 요청을 통해 사이트 옵션을 삭제할 수 있는 취약점이 발견되었습니다. 공격자는 이를 악용하여 관리자 대시보드 접근을 차단하거나 플러그인 설정을 비활성화할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 방문자라도 웹사이트의 중요한 설정값을 마음대로 지울 수 있는 보안 구멍이 있습니다. 이로 인해 관리자가 사이트에 접속하지 못하게 되거나 보안 기능이 꺼질 수 있습니다.
🇺🇸 원문 (English)
The miniOrange 2FA WordPress plugin before 6.3.1, miniOrange 2FA WordPress plugin before 19.3 does not require a validated transaction before deleting site options whose names come from unauthenticated request input, allowing any visitor to delete arbitrary options, which can lock every administrator out of the dashboard or deactivate every miniOrange 2FA WordPress plugin before 6.3.1, miniOrange 2FA WordPress plugin before 19.3 on the site.
📍 영향받는 시스템
miniOrange 2FA WordPress plugin < 6.3.1, miniOrange 2FA WordPress plugin < 19.3
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 요청을 보내 사이트 옵션 이름을 삭제하도록 유도하는 방식
🛡️ 대응 방법
miniOrange 2FA 플러그인을 최신 버전(6.3.1 이상 또는 19.3 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 miniOrange 2FA의 버전을 확인하여 취약한 버전인지 체크합니다.
wp plugin list --status=active | grep -E 'miniorange-2fa'