워드프레스(WordPress)에서 1,000만 개 사이트에 설치된 인기 플러그인 Elementor의 4.3.0~4.3.1 버전에서 CSRF(사이트 간 요청 위조) 취약점이 발견됐습니다. 이 취약점을 악용하면 공격자가 로그인된 관리자에게 악성 링크 하나를 클릭하게 만드는 것만으로도 자신이 통제하는 관리자 계정을 새로 만들 수 있습니다. 현재 해당 취약점이 있는 두 버전을 사용하는 사이트는 최대 200만 개에 달합니다. 공격에 자바스크립트나 별도 웹페이지가 필요 없고, 이메일·채팅·댓글로 링크만 전달해도 공격이 성립합니다. 현재 패치 버전(4.3.2)이 출시되어 있으므로 즉시 업그레이드해야 합니다.
Elementor 플러그인 4.3.0~4.3.1의 Editor Events 모듈에서 CSRF 취약점 발견. 인증되지 않은 공격자가 관리자에게 악성 링크를 열게 함으로써 공격자 소유의 관리자 계정을 생성할 수 있음.
전 세계 최대 200만 개 워드프레스 사이트가 영향을 받으며, 공격 성공 시 공격자가 사이트 전체 관리자 권한을 탈취할 수 있음.
Editor Events 모듈이 URL에 elementor/v1/events/ 경로가 포함되면 WordPress의 REST nonce 검증을 건너뛰는 로직 결함. 공격자는 이를 이용해 임의의 REST API 엔드포인트를 관리자 권한으로 실행시킬 수 있음.
Patchstack이 9월 22일 신고, Elementor는 이틀 후 버전 4.3.2에서 패치 출시. 쿼리 스트링을 통한 우회를 차단함.
Elementor 플러그인을 사용 중이라면 즉시 버전 4.3.2로 업그레이드해야 함. 4.3.0 이전 버전도 다른 알려진 취약점이 있으므로 최신 버전 유지 필수.
본문
WordPress용 Elementor 플러그인에서 발견된 CSRF(사이트 간 요청 위조) 취약점을 통해 인증되지 않은 공격자가 관리자 계정을 생성할 수 있습니다.
위협 행위자는 로그인된 관리자를 속여 악성 링크를 열게 함으로써 이 취약점을 악용할 수 있습니다. 피해자의 인증된 세션이 해당 계정에 허용된 REST API 작업을 수행하게 됩니다.
기본 설치 환경에서는 결과적으로 공격자가 통제하는 관리자 계정이 생성됩니다.
Elementor Website Builder는 드래그 앤 드롭 인터페이스로 웹사이트를 제작할 수 있게 해주는 인기 WordPress 플러그인으로, 현재 1,000만 개 사이트에서 사용 중입니다.
해당 CSRF 취약점은 아직 식별자(CVE)가 부여되지 않았으며, 버전 4.3.0 및 4.3.1에만 영향을 미칩니다. WordPress.org 통계에 따르면 이 두 버전을 사용하는 사이트는 최대 200만 개에 달합니다.
보안 기업 Patchstack은 버그 헌터 "Saggre"로부터 취약점을 제보받아 9월 22일 Elementor 팀에 신고했습니다. Elementor는 이틀 후 플러그인 버전 4.3.2에서 수정 패치를 배포했습니다.
Patchstack의 분석에 따르면, 이 CSRF 취약점은 Elementor의 Editor Events 모듈이 요청 URI에 elementor/v1/events/ 경로가 포함되어 있는지를 확인하고, 해당 문자열이 존재할 경우 WordPress의 REST nonce 검증을 우회하는 방식으로 발생합니다.
URI에는 공격자가 제어할 수 있는 쿼리 파라미터도 포함되어 있기 때문에, 공격자는 다른 REST 엔드포인트를 대상으로 하는 요청에 해당 경로를 추가하여 로그인된 사용자가 기존 권한으로 이를 실행하도록 유도할 수 있습니다.
Patchstack은 이 취약점이 로그인된 관리자를 대상으로 한 원클릭 공격에 악용될 수 있으며, 공격자가 통제하는 새 관리자 계정을 생성할 수 있다고 밝혔습니다.
"로그인된 WordPress 사용자가 링크 하나만 열어도, 해당 사용자는 자신의 계정이 수행할 수 있는 모든 REST API 작업을 실행하게 됩니다"라고 Patchstack은 설명합니다.
이 보안 기업에 따르면 공격에 자바스크립트, 공격자 소유의 웹페이지, 또는 양식 제출이 필요하지 않으며, 링크는 이메일·채팅 메시지·사이트 댓글을 통해 대상에게 전달될 수 있습니다.
4.3.0 이전 버전의 Elementor에는 영향을 받는 Editor Events 프록시가 포함되어 있지 않지만, 해당 구버전들은 이미 일부가 실제로 악용되고 있는 다른 취약점에 노출되어 있습니다.
플러그인 사용자는 가능한 한 빨리 Elementor 버전 4.3.2로 업그레이드하도록 권고됩니다. 해당 버전은 공격자가 쿼리 스트링을 통해 우회를 시도하는 것을 차단합니다.
AI 기반 공격에 대비하는 보안 청사진 수립
NFL, CHANEL, Atlassian의 보안 리더들과 Mikko Hyppönen이 함께하는 2시간 분량의 디지털 서밋에 참여하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 멈춰야 할 것은 무엇인지, 그리고 머신 속도로 검증하고, 결정하고, 수정하고, 재검증하는 방법을 다룹니다.
좌석 예약하기
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
