CVE-2026-91152: WordPress Everest Forms(AI 폼 빌더) 반사형 XSS 점검

WordPress용 Everest Forms 플러그인의 3.6.2 이하 버전에서 evf_toast_type 파라미터를 통한 반사형 XSS(Reflected Cross-Site Scripting) 취약점이 CVE-2026-91152로 등록됐습니다. CVE 레코드는 Wordfence가 CNA(취약점 채번기관)로서 발행했습니다. 인증 없는 공격자가 링크 클릭을 유도해 사용자 브라우저에서 스크립트를 실행시킬 수 있다는 점이 이번 사안의 출발점입니다.

개요

개요 인포그래픽
CVE 레코드에 따르면 Everest Forms – Contact Form, Payment Form, Quiz, Survey & Custom Form Builder with AI 플러그인은 3.6.2 이하 모든 버전에서 evf_toast_type 파라미터의 입력 샌디타이징과 출력 이스케이핑이 불충분해 반사형 XSS에 취약합니다.

이 취약점으로 인증되지 않은 공격자도 임의 웹 스크립트를 주입할 수 있습니다. 단, 스크립트가 실행되려면 공격자가 사용자를 속여 링크 클릭 같은 행동을 하도록 성공적으로 유도해야 합니다. 즉 코드 하나로 원격 코드 실행까지 이어지는 형태가 아니라, 사용자 상호작용이 붙었을 때 성립하는 반사형 XSS입니다.

형제 파라미터인 evf_toast 값이 atob()로 성공적으로 디코딩되어야 악용이 가능하다는 조건도 있습니다. CNA는 이를 공격자가 쉽게 충족시키는(trivially attacker-controlled) 전제로 평가했습니다. 방어선이라 기대하기 어렵다는 뜻입니다.

영향 범위

영향 대상은 WordPress용 Everest Forms 플러그인의 3.6.2 이하 전체 버전입니다. 전달된 근거에는 상위 버전이나 수정 릴리스·패치 배포 시점에 대한 언급이 없어, 이 글에서는 버전 확인과 WordPress.org 플러그인 디렉터리의 최신 배포 정보 확인까지만 다룹니다.

WordPress.org 플러그인 디렉터리 정보에 따르면 Everest Forms는 드래그 앤 드롭 폼 빌더, AI 기반 폼 생성기, 결제 처리, 퀴즈 빌더, 설문 도구를 하나의 플러그인에 담고 40개 이상의 폼 필드와 무제한 제출 기능을 제공합니다. 문의·결제·설문·퀴즈처럼 방문자 입력을 다루는 화면을 운영하는 플러그인이라는 점이 확인된 기능 범위입니다.

위험도의 방향은 확인된 공격 조건, 즉 인증 불필요와 사용자 행동 유도 요구에서 갈립니다. 누가 그 링크를 열느냐가 피해 범위를 좌우하는 변수입니다. 일반 방문자 세션에서 스크립트가 실행되면 피해는 그 방문자의 브라우저 컨텍스트와 페이지 표시 범위에 머물 수 있습니다. 반면 폼 설정이나 제출 데이터를 다루는 관리자·편집자가 같은 링크를 열면, 관리자 화면을 대상으로 한 XSS의 일반적 특성이 성립할 여지가 있습니다. 이는 확인된 침해 사례가 아니라 XSS의 일반적 특성과 플러그인의 확인된 기능을 연결한 조건부 해석이며, 각 사이트의 역할 분리·권한 구성에 따라 결과가 달라집니다.

기술적 분석

악용 흐름은 CVE 레코드의 설명을 따라 다음과 같이 정리됩니다.

공격자가 evf_toast_type 파라미터에 임의 웹 스크립트를 넣은 URL을 만든다.
희생자가 그 링크를 클릭해 플러그인이 로드되는 페이지에 도달한다.
입력값이 충분히 검증·이스케이핑되지 않은 채 페이지에 반사되고, 브라우저에서 스크립트가 실행된다.
전제 조건인 evf_toast의 atob() 디코딩은 공격자가 자유롭게 맞출 수 있어 실질적 방어 효과가 되지 못한다.

CVE 레코드에서 전달된 정량 지표는 CVSS 3.1 벡터 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N이고, 아래는 이 벡터가 지시하는 조건을 항목별로 정리한 것입니다.

AV:N / AC:L / PR:N: 네트워크 경유, 낮은 복잡도, 공격자 권한 불필요. 공격자 측 진입 장벽은 낮습니다.
UI:R: CNA 기록대로, 사용자가 링크 클릭과 같은 행동을 하도록 유도되어야 실행된다는 조건입니다. 어떤 유통 채널로 전달되는지는 근거에 없어 특정하지 않습니다.
S:C: Scope Changed 표기로, 영향이 취약한 컴포넌트가 속한 권한 경계 밖으로 확장될 수 있다고 설정한 것입니다. 전달된 자료에는 벡터 표기만 있어 구체적으로 어떤 자원이 영향을 받는지는 특정하지 않습니다.
C:L / I:L / A:N: 기밀성과 무결성에 각각 낮음 수준의 영향, 가용성 영향 없음. 서비스 중단보다는 정보 노출과 페이지 위변조 쪽에 가까운 조합입니다.

이 벡터의 구조만 보면, 공격자 측 조건(네트워크·낮은 복잡도·권한 불필요)은 헐겁고 실행 여부는 사용자 행동 한 단계에 걸려 있습니다. 원인이 입력 검증과 출력 이스케이프의 부족이라는 점에서, 통제 가능한 변수는 코드 결함 조건을 없애는 쪽에 있습니다.

확인되지 않은 사항

정확한 우선순위 판단을 위해 다음을 한계로 명시합니다.

공개 PoC의 존재 여부는 이번 근거에서 확인되지 않았습니다. 존재한다고도, 존재하지 않는다고도 말할 수 없습니다.
야생에서의 실제 공격 관측 증거도 확인되지 않았습니다.
CISA KEV(Known Exploited Vulnerabilities) 등재 여부는 미확인입니다.
탐지 규칙이나 대응 절차에 관한 검증된 자료는 이번 근거에 포함되어 있지 않습니다. 따라서 이 글의 대응 서술은 확인된 영향 범위와 배포 정보 확인으로 한정합니다.

즉 확인된 것은 취약점의 존재와 악용 조건이고, 확인되지 않은 것은 확산 정황입니다. 지금 시점의 우선순위는 실제 침해를 전제로 한 조치가 아니라, 영향 버전인 3.6.2 이하를 지금 쓰고 있는지 확인하는 지점에 있습니다.

대응 방안

근거가 확인하는 범위는 3.6.2 이하가 취약하고 그 원인이 입력 검증·출력 이스케이프 부족이라는 점, 그리고 배포 정보가 WordPress.org 플러그인 디렉터리에 있다는 점까지입니다. 탐지 규칙이나 로그 양식, 필터링 구성에 대한 검증된 근거는 전달되지 않았으므로 아래는 영향 범위 확인과 최신 배포 정보 확인으로 한정합니다.

Everest Forms 사용 여부와 설치 버전을 확인해, CNA 기록이 확인하는 영향 버전인 3.6.2 이하에 해당하는지 점검합니다.
3.6.2 이하가 확인되면 WordPress.org 플러그인 디렉터리의 최신 배포 정보를 확인하고 업데이트 적용을 검토합니다. CNA 기록은 3.6.2 이하의 영향만 명시하고 특정 후속 배포본이 취약 조건을 해소했는지는 확인하지 않으므로, 특정 수정 버전 번호는 이 글에서 다루지 않습니다.
현 시점의 우선순위 판단 근거는 확인된 영향 버전 범위, 즉 3.6.2 이하 사용 여부입니다. 공개 PoC나 KEV 등재 여부가 확인되지 않은 상태이므로, 확산 정황을 전제로 한 대응보다 사용 버전과 최신 배포 정보를 확인하는 순서로 점검합니다.

정리하면, 이번 사안에서 운영자가 직접 확인할 수 있는 변수는 확인된 영향 버전인 3.6.2 이하를 지금 사용하고 있는지, 그리고 플러그인 디렉터리의 최신 배포 정보를 확인해 두었는지입니다. CNA 기록은 3.6.2 이하의 영향까지만 확인하므로 특정 배포본의 조건 해소 여부는 이 글의 범위가 아닙니다. 실행에 사용자 행동이 필요하다는 반사형 XSS의 조건은 근거가 확인하는 그대로 남습니다.

참고자료

함께 읽으면 좋은 글

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.

CVE-2026-91152: WordPress Everest Forms(AI 폼 빌더) 반사형 XSS 점검

개요

영향 범위

기술적 분석

확인되지 않은 사항

대응 방안

참고자료

함께 읽으면 좋은 글

댓글 (0)

IT 도구 서랍

CVE-2026-91152: WordPress Everest Forms(AI 폼 빌더) 반사형 XSS 점검

개요

영향 범위

기술적 분석

확인되지 않은 사항

대응 방안

참고자료

함께 읽으면 좋은 글

인사이트를 이메일로 받아보세요

약관

댓글 (0)

IT 도구 서랍