🇰🇷 한글 설명
miniOrange 2FA WordPress 플러그인 6.3.1 및 19.3 미만 버전에서 2단계 인증 시도 횟수 제한이 계정 단위가 아닌 클라이언트가 임의로 변경 가능한 식별자에 기반하는 취약점이 발견되었습니다. 공격자는 피해자의 비밀번호를 알고 있을 경우, 식별자를 계속 변경하며 무제한으로 일회용 비밀번호(OTP)를 추측하여 2단계 인증을 무력화할 수 있습니다.
💡 쉬운 설명
로그인할 때 입력하는 추가 보안 번호(OTP)를 틀려도 차단되지 않는 문제입니다. 해커가 번호를 무작위로 계속 입력하여 맞출 때까지 시도할 수 있어 보안이 뚫릴 수 있습니다.
🇺🇸 원문 (English)
The miniOrange 2FA WordPress plugin before 6.3.1, miniOrange 2FA WordPress plugin before 19.3 does not scope its second-factor attempt limit to the account being attacked, keying it instead to an identifier the client supplies and can change at will, allowing an attacker who already knows a victim's password to make unlimited one-time-passcode guesses and defeat the second factor. A second validation endpoint applies no attempt limit at all.
📍 영향받는 시스템
miniOrange 2FA WordPress plugin version < 6.3.1 and < 19.3
⚔️ 공격 벡터
클라이언트가 조작 가능한 식별자를 이용한 무차별 대입 공격(Brute-force attack)
🛡️ 대응 방법
miniOrange 2FA 플러그인을 최신 버전(6.3.1 또는 19.3 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 플러그인 버전이 취약한 버전 범위에 해당하는지 확인하십시오.
wp plugin list --name miniorange-2fa --format=csv | grep -E 'miniorange-2fa'