UiChemy AI 빌드 플러그인에서 보고된 CVE-2026-109385 취약점은 기여자 권한의 사용자가 악성 콘텐츠를 저장해 두고, 관리자가 이를 검토하거나 미리보기하다가 조작된 링크를 클릭하는 순간 스크립트가 실행되는 저장형 XSS(Cross-Site Scripting)입니다. 스크립트가 실행된다는 사실 자체가 곧 보안 위협입니다.
CVE-2026-109385 취약점 개요
워드프레스 생태계에서 피그마(Figma) 디자인이나 AI 프롬프트를 엘리멘터(Elementor), 구텐베르크(Gutenberg), 브릭스(Bricks) 등으로 변환해 주는 ‘UiChemy – Convert Figma, Prompts and AI Builds to Elementor, Gutenberg and Bricks’ 플러그인에서 보안 결함이 발견되었습니다. 취약점 식별 번호는 CVE-2026-109385이며, 보안 전문 조직인 Wordfence가 배정했습니다.
이 취약점은 저장형 XSS(Stored Cross-Site Scripting)로 분류되며, 공격 벡터는 네트워크(Network)입니다. 저장형 XSS는 공격자가 입력한 악성 스크립트가 서버의 데이터베이스에 저장되었다가, 다른 사용자가 그 페이지를 요청할 때 브라우저에서 실행되는 공격 형태입니다.
보안 위험도를 측정하는 CVSS(Common Vulnerability Scoring System) 점수는 6.4점입니다. 현재 WordPress.org 기준 활성 설치 수는 약 8,000개로 집계되는데, 그만큼 다수의 웹사이트 관리자가 잠재적인 공격 대상이라는 뜻입니다.
| 항목 | 상세 내용 |
|---|---|
| CVE 식별 번호 | CVE-2026-109385 |
| 취약점 분류 | Cross-Site Scripting (저장형 XSS) |
| 공격 벡터 | Network |
| CVSS 점수 | 6.4 |
| 배정 조직 | Wordfence |
| 플러그인 활성 설치 수 | 약 8,000개 |
취약점 악용 시나리오 및 영향 범위
CVE-2026-109385의 핵심은 낮은 권한의 사용자가 높은 권한의 관리자를 공격 대상으로 삼는다는 점입니다. 공격은 대체로 다음 순서로 진행됩니다.
- 악성 콘텐츠 생성: 기여자(Contributor) 권한을 가진 사용자가 플러그인 기능을 이용해 악성 스크립트가 포함된 콘텐츠를 담은 게시물을 작성하고 이를 서버에 저장합니다.
- 관리자 유도: 공격자는 웹사이트 관리자(Administrator)가 그 게시물을 확인하도록 유도합니다.
- 스크립트 실행: 관리자가 게시물을 검토하거나 미리보기하다가 공격자가 사전에 조작해 둔 링크를 클릭하는 순간, 저장되어 있던 악성 스크립트가 관리자의 브라우저 세션에서 실행됩니다.
공격이 성공하면 관리자의 브라우저에서 공격자가 의도한 스크립트가 그대로 실행되어 보안 위험으로 이어질 수 있습니다.
현재까지 확인된 바로는 공개된 개념 증명(PoC) 코드나 실제 악용 사례, CISA KEV(Known Exploited Vulnerabilities) 목록 등재 내역은 없습니다. 다만 취약점이 공개된 이상 공격자가 이를 분석해 실제 공격에 활용할 가능성은 남아 있으므로 경계가 필요합니다.
대응 방안 및 점검 가이드
웹사이트 관리자와 보안 담당자가 점검할 항목은 다음과 같습니다.
1. 플러그인 업데이트 상태 확인 및 조치
이 플러그인은 2026-10-29에 업데이트 이력이 있습니다. 그러나 이 업데이트가 CVE-2026-109385 취약점을 공식적으로 수정하기 위한 패치 버전인지는 제공된 증거 내에서 명확하지 않습니다. 플러그인 제조사인 posimyththemes의 공식 릴리스 노트나 보안 공지에서 해당 CVE 번호의 수정 여부를 반드시 교차 확인해야 합니다.
2. 사용자 권한 관리 강화
공격의 시작점이 ‘기여자(Contributor)’ 권한 사용자라는 점이 핵심입니다. 신뢰할 수 없는 사용자에게 기여자 이상의 권한을 주는 것은 지양하고, 권한 할당 시 최소 권한 원칙을 적용하십시오.
3. 관리자 계정 보안 활동
관리자라면 출처가 불분명하거나 조작이 의심되는 링크를 클릭할 때 각별히 조심하는 것이 먼저입니다. 특히 기여자가 작성한 콘텐츠를 검토하거나 미리보기하는 중 비정상적인 리다이렉션이나 팝업, 스크립트 실행 징후가 없는지 수시로 살펴보는 것이 좋습니다.
CVE-2026-109385는 신뢰 수준이 낮은 사용자에게 관리자의 브라우저에서 스크립트를 실행할 수 있는 통로를 열어 주는 취약점입니다. 정확한 수정 버전이 확인될 때까지 기여자 권한의 게시물을 검토할 때는 주의를 기울이고, 최신 업데이트 상태를 유지하면서 제조사의 공식 보안 공지를 지속적으로 추적하시기 바랍니다.