Directorist 워드프레스 플러그인의 체크아웃 결제 재시도를 처리하는 REST 동작이 요청 대상 주문의 소유권을 확인하지 않는 보안 문제가 확인됐고, CVE-2026-118534로 공개됐습니다. 이 동작에는 객체 수준 권한 확인이 빠져 있어 직접 객체 참조(IDOR)로 분류됐으며, 구독자 권한을 포함한 인증된 계정이라면 다른 사용자의 주문을 겨냥해 결제 시도 기록을 만들어낼 수 있습니다.
취약점 개요: CVE-2026-118534와 Directorist 결제 재시도 IDOR
Directorist는 WordPress.org 공식 플러그인 디렉터리에 등록된 비즈니스 디렉터리 플러그인으로, 공식 페이지 기준 활성 사용자가 20,000명 이상인 것으로 소개됩니다. 이 플러그인의 체크아웃 과정에는 결제를 다시 시도하는 REST 동작이 있는데, 문제는 이 동작이 요청이 지정한 주문이 해당 사용자의 소유인지 확인하지 않은 채 처리된다는 점입니다. “이 주문이 요청한 사람의 것인가”라는 가장 기본적인 권한 검사가 결제 경로에 없다는 뜻입니다. 단순한 코드 품질 문제가 아니라 권한 설계의 결함입니다.
주요 정보를 표로 정리했습니다.
| 항목 | 내용 |
|---|---|
| CVE 식별 번호 | CVE-2026-118534 |
| 대상 기능 | Directorist 체크아웃 결제 재시도 REST 동작 |
| 영향 버전 | Directorist 8.11 이전 버전 |
| 수정 버전 | 8.11 |
| 공격 조건 | 인증된 사용자 계정 필요(구독자 권한 포함) |
| 기술적 분류 | 직접 객체 참조(IDOR) |
| 확인된 영향 | 다른 사용자의 주문을 겨냥한 결제 시도 기록 생성 가능 |
영향 범위: 8.11 이전 버전과 인증 조건
영향 범위는 Directorist 8.11 이전 버전이며, 수정 버전은 8.11로 기재돼 있습니다. 공격 조건에서 주목할 점은 두 가지입니다.
- 악용에는 인증된 사용자 계정이 필요합니다. 완전한 비인증 상태의 원격 공격이 아니라 로그인된 세션을 전제로 하는 공격입니다.
- 구독자(subscriber)처럼 권한이 낮은 계정도 악용 조건에 포함됩니다. 관리자 같은 상위 권한이 아니어도 된다는 점이 실제 위협 수준을 끌어올립니다.
공격 조건이 “인증된 계정”이기 때문에, 누구나 구독자로 가입할 수 있는 개방형 회원 구조의 디렉토리 사이트에서는 잠재적 공격자 집단이 그만큼 넓어집니다. 운영자 입장에서 짚어 둘 지점입니다.
기술적 분석: 주문 소유권 확인 누락 경로
이 취약점이 직접 객체 참조(IDOR)로 분류되는 이유도 객체 수준 권한 확인이 빠져 있기 때문입니다. 요청이 참조하는 객체, 즉 주문이 요청자의 소유인지 검증하는 계층이 없는 상태에서 결제 재시도 동작이 처리되는 구조입니다. 결제 재시도 REST 동작이 대상 주문의 소유권을 확인하지 않는다는 사실이 곧 이 분류의 근거입니다.
확인된 결과는 구체적입니다. 구독자처럼 권한이 낮은 계정이라도 다른 사용자의 주문을 겨냥해 결제 시도 기록을 만들어낼 수 있습니다. 다만 분석가 관점에서는 영향의 경계를 정확히 그어야 합니다. 이 글이 참조한 근거로 확인된 것은 결제 시도 기록 생성 가능까지입니다. 실제 결제가 처리되는지, 금전 손실이나 주문 정보 노출로 이어지는지는 확인되지 않았습니다. 확인된 영향을 근거로 심각성을 과장하는 판단이나, 반대로 기록 생성에 그친다며 과소 평가하는 판단 모두 지양하는 편이 좋습니다. 결제 시도 기록이 결제 흐름에서 만들어낼 수 있는 결과는 별도 확인이 필요한 영역으로 남아 있습니다.
대응 방안: 버전 확인과 8.11 업데이트
- 사용 중인 Directorist 버전부터 확인합니다. 8.11 이전 버전이라면 영향 범위에 해당합니다.
- 8.11로 업데이트를 진행합니다. 수정 버전은 8.11로 명시돼 있습니다.
- 업데이트 전후 과도기에는 운영 점검도 함께합니다. 공격이 인증된 계정을 전제로 하는 만큼, 결제·주문 관련 이력에서 타인의 주문을 향한 비정상적인 결제 시도 기록이 없는지 살펴야 합니다.
- 개별 사이트의 적용 버전은 직접 확인하는 수밖에 없습니다. WordPress.org 수집 자료에는 현재 최신 버전 번호가 명시돼 있지 않아서, 8.11 배포 상태와 사이트별 적용 여부는 별도 확인이 필요합니다.
한 가지 주의할 점이 있습니다. 업데이트가 어려운 환경을 위한 검증된 우회 조치(workaround)는 이 글이 참조한 근거에서 확인되지 않았습니다. 임시 차단이나 설정 변경 같은 조치를 적용하기 전에 해당 조치의 유효성을 별도로 검증해야 합니다. 근거 수준에서 말할 수 있는 기본 대응은 버전 확인과 8.11 업데이트입니다.
확인 한계: 악용 현황, 탐지 규칙, 우회 조치
이 글의 분석 신뢰도를 위해 확인 한계를 먼저 밝혀둡니다.
- 실제 환경에서의 악용 사례나 공개된 개념증명(PoC)은 수집된 근거에서 확인되지 않았습니다. 이는 실제 악용이 없다는 뜻이 아니라, 확인된 자료가 없다는 뜻으로 읽는 것이 맞습니다.
- 공격 요청의 구체적인 형식이나 주문 식별자를 확보하는 방법은 근거에 없는 정보입니다.
- 요청자와 주문 소유자의 불일치를 식별할 수 있는 구체적인 로그 필드나 탐지 규칙도 근거에서 확인되지 않았습니다.
- CVE 번호 매핑과 세부 정보는 2차 리포트 전언에 의존합니다. 최종 검증은 WPScan 취약점 상세 페이지와 CVE 원본 등록 정보를 직접 확인하는 것을 권장합니다.
자주 묻는 질문
CVE-2026-118534의 수정 버전은 무엇인가요?
Directorist 8.11입니다. 영향 범위는 8.11 이전 버전입니다.
구독자 계정도 이 취약점을 악용할 수 있나요?
가능합니다. 악용에는 인증된 사용자 계정이 필요하며, 구독자도 이 조건에 포함됩니다.
금전 피해까지 확인됐나요?
아니요. 근거로 확인된 영향은 다른 사용자의 주문을 겨냥한 결제 시도 기록 생성 가능까지입니다. 실제 결제 처리나 금전 손실 여부는 확인되지 않았습니다.
결론: 지금 확인해야 할 것
CVE-2026-118534는 Directorist의 결제 재시도 REST 동작이 주문 소유권을 확인하지 않는 결함에서 비롯된 IDOR 취약점으로, 8.11 이전 버전을 사용하는 모든 사이트가 영향 범위입니다. Directorist 기반 디렉토리 서비스를 운영 중이라면 지금 시점의 기본 대응은 버전 확인과 8.11 업데이트, 그리고 결제 시도 기록 점검입니다.