🇰🇷 한글 설명
Really Simple Security WordPress 플러그인 9.5.10.1 미만 버전에서 2단계 인증(2FA) REST 엔드포인트 중 두 곳이 2차 인증 과정을 강제하지 않는 취약점이 발견되었습니다. 공격자가 사용자의 비밀번호를 알고 있다면 이메일 OTP 인증을 거치지 않고도 해당 사용자의 워드프레스 인증 세션을 획득할 수 있습니다.
💡 쉬운 설명
비밀번호를 알아낸 해커가 추가 보안 단계인 이메일 인증을 건너뛰고 바로 로그인할 수 있는 보안 결함입니다. 이로 인해 계정의 보안이 무력화될 수 있습니다.
🇺🇸 원문 (English)
The Really Simple Security WordPress plugin before 9.5.10.1 does not enforce the second-factor challenge in two of its two-factor authentication REST endpoints, allowing an attacker who knows a user's password to obtain a WordPress authentication session for that user without completing the email OTP challenge.
📍 영향받는 시스템
Really Simple Security WordPress plugin version < 9.5.10.1
⚔️ 공격 벡터
사용자 비밀번호를 탈취한 후, 2차 인증을 우회하는 REST API 엔드포인트를 호출하여 인증 세션 획득
🛡️ 대응 방법
Really Simple Security 플러그인을 최신 버전(9.5.10.1 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 9.5.10.1보다 낮은지 확인하십시오.
wp plugin list --status=active | grep -i 'really-simple-security' && wp plugin list --format=json | jq '.[] | select(.name=="really-simple-security") | .version'