WordPress Ninja Forms 플러그인 저장형 크로스 사이트 스크립팅(Stored XSS) 취약점 (CVE-2026-109997)

1. 공식 보안 패치 적용

가장 안전하고 권장되는 조치는 플러그인을 최신 버전(3.15.6 이상)으로 업데이트하는 것입니다. WordPress 관리자 대시보드에서 즉시 업데이트를 수행하십시오.

2. 임시 완화 조치 (WAF 규칙 적용)

패치 적용 전까지 웹 애플리케이션 방화벽(WAF)을 통해 nf_ajax_submit 액션을 타겟으로 하는 비정상적인 요청 및 formData.extra 매개변수 내 스크립트 태그 주입 시도를 차단하십시오.

ModSecurity 규칙 예시:

SecRule REQUEST_URI "/wp-admin/admin-ajax.php" "id:109997,phase:2,deny,status:403,log,chain,msg:'CVE-2026-109997: Ninja Forms XSS Attempt'"
SecRule ARGS:action "@eq nf_ajax_submit" chain
SecRule ARGS:formData.extra "@rx <script[^>]*>"

WordPress의 인기 폼 빌더 플러그인인 Ninja Forms에서 심각한 저장형 크로스 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다.

취약점 발생 원인 및 메커니즘

• 입력값 검증 및 출력 이스케이프 미흡 (CWE-79): 플러그인이 formData.extra 매개변수를 통해 전달되는 사용자 입력을 적절히 필터링(Sanitization)하지 않고, 저장된 데이터를 출력할 때 이스케이프(Escaping) 처리를 누락하여 발생합니다.
• 보안 토큰(Nonce) 검증 우회: nf_ajax_submit 엔드포인트는 요청 실패 시 요청자에게 유효한 Nonce를 발급하는 설계 결함을 가지고 있습니다. 이로 인해 공격자는 사전 권한이나 유효한 토큰 없이도 단 한 번의 비인증 요청만으로 Nonce 검증을 무력화하고 악성 스크립트를 성공적으로 주입할 수 있습니다.

파급력

인증되지 않은 외부 공격자가 악성 자바스크립트 코드를 데이터베이스에 영구적으로 저장시킬 수 있습니다. 이후 관리자나 일반 사용자가 해당 데이터가 포함된 페이지(예: 관리자 대시보드의 문의 접수 내역 페이지)에 접근할 때 스크립트가 실행되어, 관리자 세션 쿠키 탈취, 악성 사용자 계정 생성, 사이트 리다이렉션 등 심각한 2차 피해로 이어질 수 있습니다.