WordPress Meow Lightbox 플러그인 저장형 크로스 사이트 스크립팅(Stored XSS) 취약점 (CVE-2026-109234)

1. 공식 보안 패치 적용

가장 확실한 해결책은 플러그인을 최신 버전(5.6.5 이상)으로 업데이트하는 것입니다. WordPress 관리자 대시보드에서 업데이트를 수행하거나 아래 CLI 명령어를 사용하십시오.

# WP-CLI를 사용한 플러그인 업데이트
wp plugin update meow-lightbox

2. 임시 완화 조치 (패치 적용이 어려운 경우)

공식 패치 적용이 즉시 불가능한 경우, 취약점의 실행 전제 조건을 차단하여 위험을 최소화하십시오.

• 옵션 비활성화: Meow Lightbox 설정에서 HtmlDomParser 엔진 사용을 중단하거나, Aggressive Resolve 옵션을 비활성화하십시오.
• 익명 기입 제한: bbPress 등 게시판 서비스에서 인증되지 않은 사용자의 익명 글/답글 작성을 비활성화하십시오.
• WAF(웹 방화벽) 규칙 적용: post_content 내 악성 스크립트 주입 패턴을 탐지하는 룰을 적용하십시오.

  # Nginx / WAF 예시 규칙 (img 태그 내 onerror/onload 등 이벤트 핸들러 차단)
  SecRule ARGS:post_content "(?i)<img[^>]+(onerror|onload|onmouseover)\s*=" "id:109234,deny,status:403,log,msg:'CVE-2026-109234 XSS Attack Blocked'"

WordPress용 Meow Lightbox 플러그인에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생하는 저장형 크로스 사이트 스크립팅(Stored XSS, CWE-79) 취약점입니다.

이 취약점은 bbPress의 익명 답글 기능과 같이 사용자가 입력한 HTML을 저장하고 렌더링하는 환경에서 발생합니다. 공격자가 post_content 매개변수를 통해 악성 스크립트가 포함된 HTML(예: img 태그의 이벤트 핸들러 속성 활용)을 제출하면, 시스템은 이를 적절히 필터링하지 않고 데이터베이스에 저장합니다.

특히 이 취약점이 실제로 발현되기 위해서는 다음과 같은 전제 조건이 모두 충족되어야 합니다:

• 관리자가 Output Buffering(출력 버퍼링)을 활성화한 상태여야 합니다.
• HtmlDomParser 엔진이 활성화되어 있어야 합니다.
• Aggressive Resolve 옵션이 활성화되어 있어야 합니다.
• bbPress 익명 답글 등 kses 허용 목록(allow-list)에서 img 속성을 보존하는 HTML 제출 경로가 존재해야 합니다.

이 조건들이 충족되면, 인증되지 않은 외부 공격자가 단 한 번의 요청(One-shot submission)만으로 악성 스크립트를 영구적으로 주입할 수 있으며, 해당 페이지를 방문하는 모든 일반 사용자 및 관리자의 세션을 탈취하거나 악의적인 행위를 수행할 수 있게 됩니다.