YITH WooCommerce Product Add-Ons 인증 우회 취약점 보안 권고 (CVE-2026-107868)

영향받는 벤더 / 생태계

YITH

대상 컴포넌트 / 패키지

WooCommerce Product Add-Ons

권고문 발행일

2026-10-30

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

YITH WooCommerce Product Add-Ons 플러그인 4.34.0 이하 버전

파급 효과

인증되지 않은 공격자가 사용자 제어 키를 조작하여 비정상적인 데이터 수정 또는 기능 접근 가능

권장 조치

해당 플러그인을 최신 버전(4.35.0 이상)으로 즉시 업데이트

영향받는 제품 및 버전 범위

YITH WooCommerce Product Add-Ons 플러그인을 사용하는 모든 WordPress 사이트 중 4.34.0 이하 버전을 사용하는 환경이 취약합니다.

권장 패치 및 임시 완화(Workaround) 가이드

PATCH & WORKAROUND

최신 버전 업데이트: WordPress 관리자 대시보드에서 플러그인을 4.35.0 이상으로 즉시 업데이트하십시오.
임시 조치: 업데이트가 불가능한 경우, WAF(Web Application Firewall)에서 비정상적인 파라미터 조작 패턴을 탐지하도록 규칙을 설정하십시오.

bash

# WP-CLI를 통한 업데이트 명령어 예시
wp plugin update yith-woocommerce-product-add-ons

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

즉시 4.35.0 이상의 최신 버전으로 업데이트할 것을 강력히 권고합니다.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

이 취약점은 CWE-639(사용자 제어 키를 통한 권한 우회)로 분류됩니다. 공격자는 서버 측에서 적절한 권한 검증 없이 클라이언트가 제공한 식별자(ID)를 신뢰하는 로직을 악용할 수 있습니다. 이를 통해 인증되지 않은 외부 사용자가 장바구니 옵션이나 제품 추가 구성 요소의 데이터를 임의로 조작하거나, 의도치 않은 비즈니스 로직을 실행하여 쇼핑몰의 무결성을 해칠 수 있습니다. EPSS 점수가 0.42로 비교적 높아 실제 악용 시도가 발생할 가능성이 큽니다.

공식 보안 권고문 및 참조 링크

NVD Original English Description

Unauthenticated Bypass Vulnerability in YITH WooCommerce Product Add-Ons <= 4.34.0 versions.

https://patchstack.com/database/wordpress/plugin/yith-woocommerce-product-add-ons/vulnerability/wordpress-yith-woocommerce-product-add-ons-plugin-4-34-0-bypass-vulnerability-vulnerability?_s_id=cve

Source: audit@patchstack.com

SecOps Advisory Dispatch & RSS Feed

일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독

보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.

Slack / Teams / RSS 리더 연동: