weDocs 저장형 XSS 취약점(CVE-2026-104760)이란 무엇인가?

weDocs XSS 취약점(CVE-2026-104760)은 워드프레스용 weDocs 플러그인 2.6.1 이하 모든 버전에서 modalPlaceholder 블록 속성의 입력 정제와 출력 이스케이프가 불충분해, 인증된 기여자(contributor) 이상 권한의 사용자가 악성 스크립트를 저장할 수 있는 저장형 크로스사이트 스크립팅(Stored XSS) 취약점이다. 위험은 단순히 스크립트가 저장되는 데 그치지 않는다. 검토 대기 상태로 저장된 글을 관리자나 편집자가 미리 보거나 열람할 때 실행 경로가 열린다.

CVE-2026-104760: weDocs 플러그인의 저장형 XSS 취약점

CVE-2026-104760으로 관리되는 이 취약점은 워드프레스용 weDocs 플러그인에서 보고된 저장형 크로스사이트 스크립팅(Stored XSS) 취약점이다. 영향을 받는 버전은 weDocs 2.6.1 이하 모든 버전이며, modalPlaceholder 블록 속성을 통한 저장형 XSS로 지목되었다. 원인은 해당 속성의 입력 정제와 출력 이스케이프가 충분하지 않다는 데 있다.

‘저장형’이라는 명칭에 걸맞게 기여자 이상 권한을 가진 사용자가 악성 스크립트를 저장할 수 있고, 저장된 콘텐츠를 관리자나 편집자가 미리 보거나 열람하는 시점에 실행될 수 있다. 공격 코드가 한 번 저장되면 이후 열람 행위가 반복되는 구조라, 위험이 사이트 운영자가 원하는 시점에 한 번에 끝나지는 않는다.

핵심 사실 요약(2026년 11월 8일 기준)

공격 전제 조건: 기여자 권한 이상이 왜 중요한가

이 취약점의 악용에는 인증된 기여자(contributor) 수준 이상의 권한이 필요하다. 조건은 세 가지다.

1. 공격자가 인증된 기여자 이상의 권한을 보유해야 한다.
2. 해당 권한만으로 악성 스크립트를 저장할 수 있다.
3. 저장된 글을 관리자나 편집자가 미리 보거나 열람하면 실행 경로가 열린다.

핵심은 공격자가 관리자 권한을 이미 확보할 필요가 없다는 것이다. 기여자 수준의 계정만으로도 악성 스크립트 저장이 가능하다. 외부 필자나 다수 사용자에게 글쓰기 권한을 부여하는 방식으로 사이트를 운영한다면 그만큼 이 취약점에 노출되는 계정 수가 늘어난다. 권한 설계를 다시 들여다봐야 하는 이유다.

게시 전 검토의 맹점: 관리자 미리보기 실행 경로

이 취약점에서 특히 눈여겨볼 부분은 실행 경로다. 관리자나 편집자가 검토 대기 상태의 글을 미리 보거나 열람할 때가 바로 그 실행 시점이다.

이 구조가 위험한 이유는 악성 스크립트가 담긴 글이 공개 상태가 되지 않아도 된다는 데 있다. 검토 대기 상태, 즉 게시 승인 전 단계에서도 관리자나 편집자가 해당 글을 열어 확인하는 행위 자체가 실행 계기가 될 수 있다. ‘게시 전에 검토해서 걸러내면 된다’는 운영 관행이 오히려 관리자·편집자를 실행 지점에 세우는 셈이다. 문서 콘텐츠의 검토와 승인 워크플로를 운영하는 사이트라면 이 역설적인 구조를 반드시 숙지해야 한다.

weDocs 2.6.2 변경 이력에 포함된 보안 수정

수정 버전은 2026년 11월 4일자로 출시된 weDocs 2.6.2다. 이 버전의 변경 이력은 기여자 이상 권한으로 가능한 저장형 XSS를 Quick Search, Helpful Modal, Table of Contents, Helpful Feedback 블록과 [wedocs] 숏코드의 more 레이블, Docs Grid·Search Modal·Table of Contents Elementor 위젯에서 수정했다고 밝힌다.

같은 변경 이력에는 별도의 보안 수정도 들어 있다. 로그아웃 상태의 방문자가 문서 검색으로 비밀번호 보호 문서의 내용과 비밀번호를 볼 수 있었던 문제, 로그인 없이 초안·비공개·비밀번호 보호 문서의 AI 요약을 읽고 생성할 수 있었던 문제가 2.6.2의 보안 항목으로 올라 있다.

확인 시 주의할 점

다음 두 가지는 참조 근거에서 확인되지 않는 부분이 있으니, 단정하지 말고 원문 대조를 권장한다.

1. 2.6.2에 포함된 별도 보안 수정(비밀번호 보호 문서 노출, AI 요약 비인가 접근)이 CVE-2026-104760과 같은 원인에서 비롯된 것인지는 참조 근거에서 확인되지 않는다.
2. 2.6.2 변경 이력은 저장형 XSS 수정 항목에서 modalPlaceholder 속성을 이름으로 직접 지목하지 않는다. 그래서 해당 속성이 수정 목록에 포함됐는지, 업데이트로 이 경로가 해소되는지는 불명확하다. 업데이트 적용 후 CVE 레코드 원문과 플러그인 변경 이력을 직접 대조해 확인하는 편이 안전하다.

덧붙여 실제 악용 여부나 공개된 개념증명(PoC)의 존재 여부도 참조 근거에서 독립적으로 확인되지 않았다. 확인되지 않았다는 사실을 ‘악용이 없다’는 근거로 해석해서는 안 되며, 대응 우선순위 판단에는 영향을 주지 않는 것이 맞다.

대응 방안: 버전 확인, 권한 점검, 업데이트 절차

weDocs를 사용 중인 사이트 관리자라면 다음 순서로 대응할 것을 권장한다.

1. 버전 확인: 사이트에 설치된 weDocs 버전을 확인한다. 2.6.1 이하 모든 버전이 이 취약점의 영향권이다.
2. 업데이트 적용: 2026년 11월 4일 출시된 weDocs 2.6.2로 업데이트한다. 이 버전에는 저장형 XSS 수정 외에 비밀번호 보호 문서 노출과 AI 요약 비인가 접근 문제의 수정도 들어 있으므로, XSS 우려가 없는 사이트라도 업데이트할 가치가 충분하다.
3. 권한 점검: 인증된 기여자 이상 권한이 이 취약점의 공격 전제 조건이므로, 현재 부여된 기여자 이상 계정 목록을 점검하고 불필요한 권한을 회수한다.
4. 검토 워크플로 점검: 업데이트가 완료되기 전까지는 관리자·편집자가 검토 대기 상태의 글을 미리 보거나 열람할 때 실행 경로가 열린다는 사실을 염두에 두고, 출처가 불분명한 계정이 저장한 글의 검토에 각별히 주의한다.
5. 원문 대조: CVE 레코드 원문과 weDocs 2.6.2 변경 이력을 직접 확인하여 수정 범위를 검증한다. 본 글의 사실 관계는 2026년 11월 8일 기준 수집된 Security Desk 리포트에 근거하므로, 이후 공개되는 공식 정보로 최종 확인을 거치는 것이 바람직하다.

저장형 XSS는 코드가 남아 있는 한 열람할 때마다 위험이 되살아나는 유형의 취약점이다. weDocs 2.6.1 이하를 사용 중이라면 원인과 실행 경로를 이해한 뒤 지체 없이 버전 점검과 업데이트, 권한 정리를 진행하는 편이 좋다.