🇰🇷 한글 설명
Mindstien Quick Login WordPress 플러그인 1.0 이하 버전에서 인증 전 요청 값을 방문자의 세션과 올바르게 대조하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 플러그인에 설정된 관리자 계정의 세션을 탈취할 수 있습니다.
💡 쉬운 설명
로그인 과정에서 본인이 맞는지 확인하는 절차가 허술하여, 해커가 아이디와 비밀번호 없이도 관리자 권한을 바로 얻을 수 있는 문제입니다. 관리자 권한을 뺏기면 사이트의 모든 제어권을 넘겨주게 됩니다.
🇺🇸 원문 (English)
The Mindstien Quick Login WordPress plugin through 1.0 does not correctly validate a value supplied in the request against the visitor's own session before authenticating them, allowing unauthenticated attackers to obtain a session as the administrator account the Mindstien Quick Login WordPress plugin through 1.0 is configured with.
📍 영향받는 시스템
Mindstien Quick Login WordPress plugin version 1.0 and below
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 요청을 보내 관리자 세션을 획득하는 방식
🛡️ 대응 방법
해당 플러그인을 최신 버전으로 업데이트하거나 사용 중지
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나고 버전이 1.0 이하이면 취약한 상태입니다.
wp plugin list --all | grep -i 'mindstien-quick-login'