CVE 취약점 권고문 데이터베이스

[영향 대상] WordPress Core 4.7 버전부터 7.1.3 버전까지의 모든 설치본

[파급 효과] 인증되지 않은 공격자가 코어 업데이트 과정 중 예측 가능한 임시 경로를 악용하여 서버 내 임의 명령을 실행(RCE)할 수 있음

[권장 조치] WordPress 7.1.4 이상 버전으로 즉시 업데이트를 수행하고, 업데이트 중 생성되는 임시 디렉토리에 대한 외부 접근을 차단하십시오.

[영향 대상] WordPress Core 특정 버전 및 활성화된 테마 환경을 사용하는 모든 웹사이트

[파급 효과] 인증되지 않은 공격자가 서버 내 임의의 PHP 파일을 실행하여 시스템 권한 탈취 및 데이터 유출 가능

[권장 조치] WordPress 보안 패치 즉시 적용 및 WAF를 통한 디렉토리 트래버스 공격 차단

[영향 대상] WordPress 버전 6.9.x (6.9.5 미만) 및 7.0.x (7.0.2 미만)

[파급 효과] 인증되지 않은 공격수가 REST API 배치 엔드포인트 경로 혼동 취약점과 WP_Query SQL 인젝션(CVE-2026-60137)을 연계하여 데이터베이스를 탈취하고 최종적으로 원격 코드 실행(RCE)을 수행할 수 있습니다

[권장 조치] WordPress 코어를 최신 안전 버전(6.9.5, 7.0.2 이상)으로 즉시 업데이트하고, 패치 적용 전까지 REST API 배치 엔드포인트를 비활성화하거나 WAF 규칙을 적용하십시오

[영향 대상] WordPress 코어 버전 6.8.x (6.8.6 미만), 6.9.x (6.9.5 미만), 7.0.x (7.0.2 미만)

[파급 효과] 취약한 플러그인이나 테마가 검증되지 않은 사용자 입력을 WP_Query의 'author__not_in' 매개변수로 전달할 경우, 공격자가 데이터베이스의 민감한 정보를 탈취할 수 있는 SQL 인젝션(SQLi) 공격이 가능합니다.

[권장 조치] WordPress 코어를 최신 보안 패치 버전(6.8.6, 6.9.5, 7.0.2 이상)으로 즉시 업데이트하고, 웹 애플리케이션 방화벽(WAF) 규칙을 적용하십시오.