🇰🇷 한글 설명
Simple Membership WordPress 플러그인 4.8.3 미만 버전에서 자동 로그인 기능 활성화 시, 신규 가입자의 비밀번호가 URL 쿼리 스트링을 통해 평문으로 전송되는 취약점이 발견되었습니다. 이로 인해 브라우저 기록, 웹 서버, 프록시 및 CDN 로그에 사용자 자격 증명이 노출될 수 있습니다.
💡 쉬운 설명
회원가입 후 자동으로 로그인되는 기능을 켜두면, 사용자의 비밀번호가 인터넷 주소창에 그대로 노출되는 문제입니다. 이 기록은 서버 로그나 브라우저 방문 기록에 남기 때문에 해커가 비밀번호를 훔쳐볼 위험이 있습니다.
🇺🇸 원문 (English)
The Simple Membership WordPress plugin before 4.8.3 does not avoid transmitting a newly registered member's plaintext password in a URL query string when an optional auto-login-after-registration feature is enabled, exposing the credential in browser history and in web server, proxy, and CDN access logs to anyone able to read them.
📍 영향받는 시스템
Simple Membership WordPress plugin version < 4.8.3
⚔️ 공격 벡터
웹 서버 로그, 프록시 로그 또는 브라우저 히스토리를 통한 자격 증명 탈취
🛡️ 대응 방법
Simple Membership 플러그인을 4.8.3 이상 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 simple-membership의 버전을 확인하여 4.8.3 미만인지 체크하십시오.
wp plugin list --allow-root | grep -E 'simple-membership'