WordPress Ninja Forms 플러그인 임의 숏코드 실행 취약점 (CVE-2026-101326)

1. 공식 패치 적용

가장 안전하고 권장되는 조치는 플러그인을 최신 버전(3.15.6 이상)으로 업데이트하는 것입니다. WordPress 관리자 대시보드에서 업데이트를 수행하거나 아래 CLI 명령어를 사용하십시오.

# WP-CLI를 사용한 플러그인 업데이트
wp plugin update ninja-forms

2. 임시 완화 조치 (패치 적용이 어려운 경우)

공식 패치 적용 전까지 아래 조치를 통해 공격 표면을 제거하십시오.

• 폼 필드 설정 변경: Ninja Forms 에디터에서 공개된 모든 폼을 검토하고, 필드의 '기본값(Default Value)' 설정 중 {wp:user_display_name} 병합 태그가 사용된 부분이 있다면 이를 제거하거나 일반 텍스트로 대체하십시오.
• 사용자 프로필 변경 모니터링: 일반 가입자(Subscriber) 권한의 사용자가 자신의 display_name을 [ 및 ] 문자가 포함된 숏코드 형태로 변경하는지 모니터링하거나, 프로필 변경 기능을 제한하십시오.

WordPress용 Ninja Forms 플러그인에서 입력값 검증 미흡으로 인해 발생하는 임의 숏코드 실행(Arbitrary Shortcode Execution, CWE-94) 취약점입니다.

취약점 원인 및 공격 메커니즘

• 입력값 검증 부재: 플러그인이 특정 값을 처리하는 과정에서 do_shortcode() 함수를 호출하기 전에 해당 값에 대한 적절한 검증이나 필터링을 수행하지 않습니다.
• 병합 태그(Merge Tag) 악용: 관리자가 공개 페이지에 배치된 Ninja Forms 필드 중 최소 하나의 기본값(Default Value)을 {wp:user_display_name} 병합 태그로 설정한 경우 취약한 조건이 성립합니다.
• 공격 시나리오: 가입자(Subscriber) 권한을 가진 공격자가 자신의 프로필 설정에서 '표시 이름(display_name)'을 실행하고자 하는 WordPress 숏코드 문자열(예: [wp_addons_list] 등)로 변경합니다. 이후 해당 폼이 렌더링되는 페이지에 접속하면, 시스템이 {wp:user_display_name}을 처리하는 과정에서 공격자가 주입한 숏코드가 do_shortcode()를 통해 실행됩니다.