WordPress Everest Forms(AI 폼 빌더)에서 발생한 CVE-2026-91153 취약점은 스마트 태그 주입(Smart-Tag Injection)으로 인증되지 않은 공격자가 민감한 정보를 노출시킬 수 있는 보안 결함입니다.
CVE-2026-91153 취약점 개요
CVE-2026-91153은 WordPress의 폼 빌더 플러그인인 Everest Forms에서 발견된 보안 취약점으로, 공식적으로 PUBLISHED 상태이며 Wordfence CNA가 할당했습니다. 이 취약점의 핵심은 ‘스마트 태그 주입’을 이용한 민감 정보 노출인데, 민감한 정보가 그대로 드러날 위험이 있습니다.
공격자 측 요구 조건도 눈여겨볼 만합니다. 비인증(Unauthenticated) 상태에서도 공격이 가능하기 때문에, 관리자 계정이나 사용자 권한을 가진 계정 없이도 외부에서 접근해 취약점을 악용할 수 있습니다.
기술적 분석 및 영향 범위
취약점 발생 메커니즘
이 취약점의 기술적 벡터는 Smart-Tag Injection입니다. 폼 빌더의 스마트 태그는 보통 동적인 데이터를 출력하는 데 쓰이는데, Everest Forms의 특정 버전은 제출 이후(post-submission) 단계에서 일어나는 주입 공격에 취약한 구조를 보였습니다.
공격자가 특수하게 조작된 스마트 태그를 주입하면, 해석 과정의 취약점 탓에 민감한 정보가 노출됩니다.
영향 대상 버전 및 범위
영향 범위는 Everest Forms 3.6.2 이하 버전 전체입니다. 사용 중인 플러그인이 여기에 해당한다면 외부 공격자가 민감 정보를 유출할 잠재적 위험에 놓여 있다고 보는 게 맞습니다.
CVE-2026-91153의 주요 내용을 표로 정리하면 다음과 같습니다.
| 구분 | 상세 내용 |
|---|---|
| 취약점 식별 번호 | CVE-2026-91153 |
| 영향을 받는 버전 | Everest Forms 3.6.2 이하 |
| 취약점 성격 | 민감정보 노출 (Sensitive Information Exposure) |
| 공격 벡터 | Smart-Tag Injection |
| 공격자 권한 | 비인증 (Unauthenticated) |
| 할당 기관 | Wordfence CNA |
대응 방안 및 업데이트 권고
기술적 수정 사항
Everest Forms 개발 측은 이 문제를 잡기 위해 스마트 태그 해석(resolution) 과정을 강화하는 패치를 적용했습니다. GitHub Pull Request #1669에 ‘제출 이후(post-submission) 주입에 대비한 스마트 태그 해석 강화(harden smart tag resolution against post-submission injection)’ 작업이 반영되었는데, 말 그대로 제출 이후(post-submission)의 주입 공격에 대비해 해석 과정을 단단히 보강한 것입니다.
관리자 대응 조치
WordPress 사이트 운영자와 웹 보안 담당자는 아래 절차에 따라 조치하면 됩니다.
- 버전 확인: 설치된 Everest Forms 플러그인의 버전을 먼저 확인합니다. 3.6.2 이하 버전을 쓰고 있다면 즉시 업데이트가 필요합니다.
- 최신 버전 업데이트: WordPress.org 플러그인 저장소 API 기준으로 현재 배포된 최신 버전은 3.6.3입니다.
- 패치 적용 검증: 업데이트 후에는 폼 제출 기능이 정상 작동하는지 확인합니다.
비인증 상태에서도 정보 노출이 가능하다는 점은 그 자체로 큰 위험 요소입니다. Everest Forms를 사용하는 모든 운영자는 최신 버전인 3.6.3으로 신속히 업데이트해 잠재적인 데이터 유출 사고를 예방하면 됩니다.