전 세계 1,000만 개 이상의 WordPress 사이트에서 사용되는 웹사이트 제작 플러그인 Elementor의 버전 4.3.0~4.3.1에서 CSRF(사이트 간 요청 위조: 로그인된 사용자가 자신도 모르게 악성 행동을 수행하게 만드는 공격) 취약점이 발견되었습니다. 공격자가 관리자에게 조작된 링크 하나만 클릭하게 만들면, 그 권한으로 악성 관리자 계정이 자동 생성되어 사이트 전체를 빼앗길 수 있습니다. 공격에 JavaScript나 별도의 악성 웹 페이지가 필요 없으며, 이메일·채팅 메시지·댓글에 링크만 심어도 공격이 성립하는 것이 특히 위험합니다. 취약점은 이번 주 출시된 버전 4.3.2에서 수정되었으므로, 해당 버전을 사용 중인 사이트 관리자는 즉시 업데이트해야 합니다.
Elementor WordPress 플러그인 버전 4.3.0~4.3.1에서 CSRF 취약점(CVSS 8.8)이 발견됨. 비인증 공격자가 로그인된 관리자에게 조작된 링크를 클릭하게 만들기만 하면 무단 관리자 계정 생성 및 사이트 완전 장악이 가능함.
취약 버전이 설치된 사이트만 200만 개 이상이며, 공격 성공 시 사이트 전체 관리 권한이 탈취됨. 취약점이 WordPress 전체 REST API에 적용되어 Elementor 외 다른 플러그인 경로도 공격 대상이 됨.
Editor Events 모듈이 요청 URI에 'elementor/v1/events/' 문자열이 포함되면 쿠키 인증 REST API 요청에 대한 CSRF 보호를 무조건 건너뛰도록 설계된 결함. 쿼리 문자열에 해당 문자열을 덧붙이는 것만으로 우회 가능.
보안 연구자 'Saggre'가 책임 공개(Responsible Disclosure) 절차로 신고했으며, Elementor 버전 4.3.2에서 수정 완료됨.
Elementor 4.3.0 또는 4.3.1을 사용 중인 사이트는 즉시 4.3.2로 업데이트 필요. 업데이트 후 WordPress 관리자 계정 목록을 점검해 불명확한 계정이 추가되지 않았는지 확인 권장.
본문
Ravie Lakshmanan · 2026년 9월 26일 · 취약점 / 웹 보안
WordPress 플러그인 Elementor Website Builder에서 심각도 높은 보안 취약점의 세부 내용이 공개됐다. 비인증 공격자가 이 취약점을 악용하면 불법 관리자 계정을 생성하고 사이트 전체를 탈취할 수 있다.
아직 CVE 식별자가 부여되지 않은 이 크로스사이트 요청 위조(CSRF) 취약점의 CVSS 점수는 10.0 만점에 8.8이다. 취약점은 1,000만 개 이상의 WordPress 사이트에서 활성화된 플러그인의 버전 4.3.0과 4.3.1에만 영향을 미친다. WordPress.org 통계에 따르면 취약한 두 버전만 합쳐도 200만 개가 넘는 사이트에 설치되어 있다.
"로그인된 WordPress 사용자가 링크 하나만 열면, 그 사용자는 자신의 계정이 수행할 수 있는 모든 REST API 동작을 공격자 대신 실행하게 됩니다. 기본 설치 상태에서 관리자가 링크를 클릭하면 공격자를 위한 두 번째 관리자 계정이 생성됩니다." — Patchstack
WordPress 보안 회사 Patchstack은 이 공격이 JavaScript, 제출 폼, 또는 위협 행위자가 관리하는 웹 페이지와 같은 사전 조건에 의존하지 않는다고 밝혔다. 링크는 이메일, 채팅 메시지, 댓글에 삽입된 단순 앵커 태그(anchor tag)만으로도 충분하다.
책임 공개(Responsible Disclosure) 절차를 거쳐, 이번 주 초 출시된 버전 4.3.2에서 해당 문제가 수정됐다. 'Saggre'라는 별칭의 보안 연구자가 이 버그를 발견하고 신고한 공로를 인정받았다.
Patchstack에 따르면 이 취약점은 Editor Events 모듈이 요청 URI 어딘가에 리터럴 문자열 "elementor/v1/events/"가 나타날 때마다 쿠키 인증 REST API 요청에 대한 CSRF 보호를 건너뛰도록 설계된 결함에서 비롯됐다.
"요청 URI에는 쿼리 문자열이 포함되고, 쿼리 문자열은 링크를 만드는 사람이 임의로 작성할 수 있기 때문에, 어떤 REST 요청이든 해당 보호를 무력화하는 무해해 보이는 파라미터를 덧붙이는 것만으로 CSRF 보호를 우회할 수 있습니다." — Patchstack
이 우회는 사이트의 전체 REST API 표면에 적용되며, WordPress 코어 경로는 물론 해당 사이트에 설치된 다른 모든 플러그인의 경로도 포함된다. 공격자는 이 허점을 이용해 아래와 같은 요청으로 /wp/v2/users 경로를 통해 관리자 계정을 생성할 수 있다.
https://example.com/wp-json/wp/v2/users
?_method=POST
&username=csrfadmin
&email=csrfadmin%40example.test
&password=...
&roles%5B%5D=administrator
&x=elementor/v1/events/
Elementor 4.3.0 이전 릴리스에는 Editor Events 프록시가 포함되지 않으므로 이 취약점의 영향을 받지 않는다. 플러그인 사용자는 잠재적 위협에 대응하기 위해 가능한 한 빨리 최신 업데이트를 적용하도록 권고된다.
