CVE 데이터베이스CVE-2026-116752

최종 갱신 2026-11-02English Advisory →

CVE-2026-1167526.4/MEDIUMCWE-79

WordPress GeoDirectory 플러그인 Stored XSS 및 권한 상승 취약점 (CVE-2026-116752) 보안 권고

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

ayecode

대상 컴포넌트 / 패키지

geodirectory

권고문 발행일

2026-10-31

CVSS v3.1

6.4

MEDIUM

30일 악용확률

0.3%

FIRST.org

CISA KEV

미등재

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

WordPress GeoDirectory – WP Business Directory Plugin 2.8.197 및 이하 모든 버전

파급 효과

구독자(Subscriber) 권한의 공격자가 악성 스크립트를 삽입하여 관리자 또는 편집자 브라우저에서 실행시킴으로써 관리자 권한 탈취 가능

권장 조치

GeoDirectory 플러그인을 최신 안전한 버전(2.8.198 이상)으로 즉시 업데이트 적용

영향받는 제품 및 버전 범위

WordPress GeoDirectory – WP Business Directory Plugin 2.8.197 및 이하 모든 버전

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

WordPress CLI(WP-CLI)를 사용하여 취약점이 해결된 최신 버전으로 플러그인을 즉시 업데이트하십시오.

bash

# GeoDirectory 플러그인 업데이트 상태 확인 및 업데이트 수행
wp plugin update geodirectory --activate

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치 적용이 즉시 불가능한 경우, 신뢰할 수 없는 사용자의 리스팅 등록 및 미디어 업로드 기능을 일시적으로 비활성화하거나, WAF(웹 애플리케이션 방화벽)를 통해 post_images 매개변수에 스크립트 태그가 포함된 요청을 차단하십시오. 아래는 Nginx 환경에서 임시로 차단하는 규칙 예시입니다.

nginx

# Nginx 설정 파일 내 악성 스크립트 유입 차단 규칙 추가
if ($request_uri ~* "(<|%3C)script.*(>|%3E)") {
    return 403;
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

데이터베이스 내에 저장된 post_images 관련 메타데이터 중 악성 스크립트가 포함되어 있는지 점검하는 SQL 쿼리 예시입니다.

sql

-- WordPress 데이터베이스에서 post_images 메타데이터 내 스크립트 태그 검색
SELECT * FROM wp_postmeta 
WHERE meta_key = 'post_images' 
AND (meta_value LIKE '%<script%' OR meta_value LIKE '%javascript:%');

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

GeoDirectory 플러그인을 즉시 최신 버전(2.8.198 이상)으로 업데이트하여 관리자 권한 탈취 위험을 방지하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2026-116752)은 WordPress용 GeoDirectory 플러그인의 post_images 매개변수 처리 과정에서 발생합니다. 플러그인 내부의 미디어 및 포스트 데이터 처리 로직(class-geodir-media.php, class-geodir-post-data.php)에서 사용자 입력값에 대한 불충분한 검증(Sanitization) 및 출력 이스케이프(Output Escaping) 누락으로 인해 발생하며, 이로 인해 악성 스크립트가 데이터베이스에 영구적으로 저장되는 Stored XSS 취약점이 유발됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 최소한의 권한인 구독자(Subscriber) 계정만으로도 비즈니스 리스팅 등록 프로세스를 통해 공격을 수행할 수 있습니다. 공격자가 post_images 매개변수에 악성 자바스크립트 페이로드를 주입하여 리스팅을 제출하면, 해당 페이로드는 데이터베이스에 저장됩니다. 이 페이로드는 공격자 본인에게는 즉시 실행되지 않으나, 사이트 관리자(Administrator)나 편집자(Editor)가 제출된 대기 중인 리스팅(Pending Listing)의 편집 화면을 검토하기 위해 접근하는 순간 관리자의 브라우저 컨텍스트에서 실행됩니다. 이를 통해 관리자의 세션 쿠키 탈취, 악성 관리자 계정 생성 등 심각한 권한 상승(Privilege Escalation) 공격으로 이어질 수 있습니다.

3. 비즈니스 및 인프라 파급 영향

관리자 권한이 탈취될 경우, 공격자는 WordPress 웹사이트 전체에 대한 완전한 제어권을 획득하게 됩니다. 이는 웹사이트 내 악성 코드 삽입(드라이브 바이 다운로드), 사용자 개인정보 유출, 랜섬웨어 유포지 활용, SEO 스팸 삽입 등 비즈니스 평판과 인프라 보안에 치명적인 피해를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

The GeoDirectory – WP Business Directory Plugin and Classified Listings Directory plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'post_images' parameter in all versions up to, and including, 2.8.197 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The injected payload does not fire for the attacker directly; it executes in the browser of any Administrator or Editor who opens the pending listing's edit screen, making this a privilege-escalation-capable stored XSS chain triggered through normal editorial workflow.

https://github.com/AyeCode/geodirectory/archive/refs/heads/master.zip

출처: security@wordfence.com

https://plugins.trac.wordpress.org/browser/geodirectory/tags/2.8.197/assets/aui/js/geodirectory-plupload.js#L363

출처: security@wordfence.com

https://plugins.trac.wordpress.org/browser/geodirectory/tags/2.8.197/includes/class-geodir-media.php#L1264

출처: security@wordfence.com

https://plugins.trac.wordpress.org/browser/geodirectory/tags/2.8.197/includes/class-geodir-post-data.php#L329

출처: security@wordfence.com

https://plugins.trac.wordpress.org/browser/geodirectory/tags/2.8.197/templates/bootstrap/file-upload.php#L44

출처: security@wordfence.com

https://plugins.trac.wordpress.org/changeset/3768833/geodirectory/trunk/assets/aui/js/geodirectory-plupload.js

출처: security@wordfence.com