CVE 데이터베이스CVE-2026-107750

최종 갱신 2026-11-02English Advisory →

CVE-2026-1077507.2/HIGHCWE-79

WooCommerce PDF Invoices & Packing Slips 플러그인 저장형 XSS 취약점 (CVE-2026-107750) 보안 권고

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

wpovernight

대상 컴포넌트 / 패키지

woocommerce-pdf-invoices-packing-slips

권고문 발행일

2026-10-31

CVSS v3.1

7.2

HIGH

30일 악용확률

0.3%

FIRST.org

CISA KEV

미등재

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

WordPress WooCommerce PDF Invoices & Packing Slips 플러그인 5.16.4 이하 전 버전

파급 효과

인증되지 않은 공격자가 주문 정보 필드에 악성 스크립트를 삽입하여 관리자 권한 탈취 및 세션 하이재킹 가능

권장 조치

플러그인을 최신 안전 버전(5.16.5 이상)으로 즉시 업데이트하고 WAF 규칙 적용

영향받는 제품 및 버전 범위

WooCommerce PDF Invoices & Packing Slips 플러그인 5.16.4 및 그 이하의 모든 버전 (CVE-2026-92244 불완전 패치 우회 포함)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

WordPress CLI(WP-CLI) 환경을 사용하여 취약점이 해결된 최신 버전으로 플러그인을 즉시 업데이트하십시오.

bash

# 플러그인 상태 확인 및 최신 버전으로 업데이트 실행
wp plugin update woocommerce-pdf-invoices-packing-slips --activate

# 업데이트 후 현재 활성화된 버전이 5.16.5 이상인지 확인
wp plugin get woocommerce-pdf-invoices-packing-slips --field=version

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 웹 애플리케이션 방화벽(WAF)에 사용자 정의 규칙을 추가하여 결제 및 주문 API 요청 본문에서 HTML 엔티티 형태의 스크립트 패턴을 차단하십시오. 아래는 Nginx 및 ModSecurity용 차단 규칙 예시입니다.

nginx

# ModSecurity WAF Custom Rule Example
SecRule REQUEST_URI "/checkout/" "id:100001,phase:2,deny,status:403,log,msg:'Block Entity-Encoded XSS Bypass',chain"
SecRule ARGS_NAMES "billing_(first_name|last_name|company)|order_comments" "chain"
SecRule ARGS "(?i)&lt;.*script.*&gt;|(?i)&lt;.*img.*onerror.*&gt;" "t:none"

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

데이터베이스의 WooCommerce 주문 메타데이터 테이블에서 HTML 엔티티 인코딩 패턴이 포함된 의심스러운 주문 정보가 있는지 점검하는 SQL 쿼리입니다.

sql

-- WooCommerce 주문 메타데이터 테이블에서 의심스러운 HTML 엔티티 패턴 검색
SELECT order_id, meta_key, meta_value 
FROM wp_postmeta 
WHERE meta_key IN ('_billing_first_name', '_billing_last_name', '_billing_company', '_customer_note')
  AND (meta_value LIKE '%&lt;%' OR meta_value LIKE '%&gt;%'
       OR meta_value LIKE '%&amp;lt;%' OR meta_value LIKE '%&amp;gt;%');

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

WooCommerce PDF Invoices 플러그인을 즉시 5.16.5 이상 버전으로 업데이트하여 엔티티 우회형 Stored XSS 위협으로부터 관리자 세션을 보호하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2026-107750)은 WordPress의 인기 쇼핑몰 확장 플러그인인 'PDF Invoices & Packing Slips for WooCommerce'에서 발생하는 저장형 크로스 사이트 스크립팅(Stored XSS) 취약점입니다. 이는 이전 CVE-2026-92244 패치에 대한 불완전한 조치로 인해 발생했습니다. 플러그인 개발사는 5.16.2 버전에서 wp_kses() 허용 목록(allow-list) 필터링을 도입하여 원시 HTML 태그 입력을 차단하려 시도했으나, 입력값 검증 이후 렌더링 과정에서 엔티티 디코딩이 수행되는 구조적 결함이 존재했습니다. 이로 인해 HTML 엔티티로 인코딩된 페이로드가 필터링을 우회하여 최종적으로 디코딩 및 실행되는 취약점이 잔존하게 되었습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 비인증 상태에서 WooCommerce 주문(Checkout) 프로세스를 진행하며 billing_address.first_name, billing_address.last_name, billing_address.company, 또는 customer_note 파라미터에 악성 페이로드를 주입합니다. 이때 <img onerror=...>와 같은 직접적인 태그 대신, <img onerror=...>와 같이 HTML 엔티티로 인코딩된 값을 전송합니다. 시스템의 wp_kses() 필터는 리터럴 꺾쇠괄호('<', '>')가 없기 때문에 이 입력을 안전한 것으로 판단하고 통과시킵니다. 그러나 이후 PDF 생성 또는 주문서 출력 단계에서 해당 데이터가 디코딩되면서 악성 스크립트가 복원되고, 관리자가 관리자 페이지에서 해당 주문서나 PDF를 조회하는 순간 관리자의 브라우저 컨텍스트에서 스크립트가 실행됩니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CVSS 7.2(High) 등급으로 평가되었으며, 비인증 외부 공격자가 관리자 권한을 완전히 장악할 수 있는 치명적인 경로를 제공합니다. 관리자 세션 쿠키가 탈취될 경우 쇼핑몰의 고객 개인정보(PII) 유출, 결제 게이트웨이 변조를 통한 금융 사기, 또는 악성 웹셸 업로드를 통한 웹 서버 전체 장악으로 이어질 수 있어 비즈니스 신뢰도와 인프라 보안에 심각한 타격을 입힙니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

The PDF Invoices & Packing Slips for WooCommerce plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'billing_address.first_name / last_name / company, customer_note' parameter in all versions up to, and including, 5.16.4 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is an incomplete fix for CVE-2026-92244: the wp_kses() allow-list introduced in 5.16.2 correctly blocks raw-tag payloads but is bypassed by entity-encoded payloads (e.g., <img onerror=…>) that contain no literal angle-bracket characters and are therefore passed through unmodified before the trailing decode rematerializes them.

https://plugins.trac.wordpress.org/browser/woocommerce-pdf-invoices-packing-slips/tags/5.16.3/includes/Documents/BulkDocument.php#L143

출처: security@wordfence.com

https://plugins.trac.wordpress.org/browser/woocommerce-pdf-invoices-packing-slips/tags/5.16.3/includes/Documents/OrderDocument.php#L1699

출처: security@wordfence.com

https://plugins.trac.wordpress.org/browser/woocommerce-pdf-invoices-packing-slips/tags/5.16.3/includes/Documents/OrderDocumentMethods.php#L1217

출처: security@wordfence.com

https://plugins.trac.wordpress.org/browser/woocommerce-pdf-invoices-packing-slips/tags/5.16.3/includes/Documents/OrderDocumentMethods.php#L99

출처: security@wordfence.com

https://plugins.trac.wordpress.org/browser/woocommerce-pdf-invoices-packing-slips/tags/5.16.3/wpo-ips-functions.php#L630

출처: security@wordfence.com

https://plugins.trac.wordpress.org/changeset/3756047/woocommerce-pdf-invoices-packing-slips/trunk/includes/Documents/OrderDocument.php

출처: security@wordfence.com

자주 묻는 실무 질문 (FAQ — CVE-2026-107750)

FAQ

Q1. CVE-2026-107750 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2026-107750의 기본 점수는 CVSS 7.2 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 0.3%입니다. 외부 네트워크 노출 여부에 따라 선제적인 패치 및 접근 제어가 권장됩니다.

Q2. CVE-2026-107750에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 wpovernight이며, 대상 컴포넌트는 woocommerce-pdf-invoices-packing-slips입니다. 상세 영향 범위: WooCommerce PDF Invoices & Packing Slips 플러그인 5.16.4 및 그 이하의 모든 버전 (CVE-2026-92244 불완전 패치 우회 포함)