| 플러그인 이름 | 워드프레스 체크 및 로그 이메일 플러그인 |
|---|---|
| 취약점 유형 | 크로스 사이트 스크립팅(XSS) |
| CVE 번호 | CVE-2026-5306 |
| 긴급 | 중간 |
| CVE 게시 날짜 | 2026-04-28 |
| 소스 URL | CVE-2026-5306 |
“체크 및 로그 이메일”의 인증되지 않은 저장 XSS (CVE-2026-5306): 워드프레스 사이트 소유자가 지금 당장 해야 할 일
2026년 4월 28일, 워드프레스 플러그인 “체크 및 로그 이메일”에 영향을 미치는 저장된 크로스 사이트 스크립팅(XSS) 취약점이 공개되었고 CVE-2026-5306이 할당되었습니다. 이 플러그인을 2.0.13보다 이전 버전의 사이트에서 실행하는 경우, 상황을 긴급하게 처리해야 합니다.
이 게시물에서는 이 취약점이 무엇인지, 일반적으로 어떻게 악용되는지, 사이트에서 악용의 징후를 감지하는 방법, 그리고 즉시 취할 수 있는 단계별 완화 및 수정 조치를 설명하겠습니다. 또한 관리형 웹 애플리케이션 방화벽(WAF)과 호스트 수준의 보호가 패치 및 정리하는 동안 시간을 벌 수 있도록 어떻게 도움이 되는지 설명하겠습니다.
이는 수천 개의 사이트를 지원하는 경험이 풍부한 워드프레스 보안 팀의 관점에서 작성되었습니다; 실행 가능하게 유지하고 도움이 되지 않는 기술적 소음은 피하겠습니다.
요약 (지금 당장 취할 수 있는 빠른 조치)
- 플러그인을 즉시 2.0.13 버전 이상으로 업데이트하십시오. 이것이 유일한 완전한 수정입니다.
- 즉시 업데이트할 수 없는 경우, 플러그인을 일시적으로 비활성화하거나 관리자 인터페이스에 대한 접근을 제한하십시오 (IP, 유지 보수 모드).
- 제출 엔드포인트에서 저장된 XSS 페이로드를 차단하고 플러그인의 이메일 로그와 관련된 입력/출력을 정리하기 위해 WAF 규칙을 배포하십시오.
- 플러그인의 로그 기록과 데이터베이스를 검사하여 의심스러운 주입된 HTML/JavaScript를 찾아내고 스크립트를 포함하는 항목을 제거하십시오.
- 관리자 계정을 모니터링하고 관리자 사용자에 대해 2단계 인증(2FA)을 활성화하십시오.
- 변경하기 전에 사이트(파일 + 데이터베이스)를 백업한 다음, 전체 맬웨어 스캔 및 무결성 검사를 수행하십시오.
WP-Firewall을 사용하는 경우, 우리의 서비스는 이미 관리형 WAF 보호 및 콘텐츠 스캔을 제공하여 업데이트하는 동안 일반적인 악용 트래픽 패턴을 완화할 수 있습니다. 비용이 없는 보호 계층에 대한 세부정보는 아래에 있습니다.
발생한 일 — 취약점 개요
- “체크 및 로그 이메일” 플러그인에서 저장된 크로스 사이트 스크립팅(XSS) 취약점이 확인되었습니다.
- 영향을 받는 버전: 2.0.13 이전의 모든 릴리스.
- 취약점 유형: 저장된 XSS (플러그인이 이메일 내용을 기록하고 적절한 출력 인코딩/정화 없이 관리자 보기에서 해당 내용을 표시함; 악의적인 페이로드가 지속되고 관리자가 기록된 내용을 볼 때 실행될 수 있음).
- 공격 벡터: 인증되지 않은 행위자가 플러그인에 의해 기록되는 데이터를 제출할 수 있음 (예: 연락처 양식, 이메일 제출 또는 플러그인의 로깅 기능에 도달하는 기타 경로를 통해). 특권 사용자가 (예: 관리자) wp-admin에서 로그 기록을 열면 악의적인 스크립트가 관리자의 브라우저 컨텍스트에서 실행됩니다.
- 심각도: 중간 (CVSS ~7.1). 저장된 XSS이지만, 악용에는 사용자 상호작용이 필요합니다 — 일반적으로 관리자가 기록된 메시지를 보는 경우 — 그러나 공격자가 인증되지 않은 상태에서 데이터를 제출할 수 있기 때문에 가능한 공격의 규모는 높습니다.
이것이 중요한 이유: 로깅 또는 관리자 표시 페이지에서의 저장된 XSS는 일반적으로 낮은 권한의 입력을 특권 사용자에 대한 높은 영향의 공격으로 전환할 수 있기 때문에 특히 위험합니다. 공격자는 이를 사용하여 세션 쿠키를 훔치거나, 관리자 권한으로 작업을 수행하거나 (주입된 JS를 통한 CSRF), 백도어를 생성하거나, 데이터를 유출할 수 있습니다.
공격자가 이 취약점을 일반적으로 어떻게 악용하는지
- 공격자는 조작된 JavaScript 페이로드(예: HTML 필드에 삽입된)를 포함하는 이메일/메시지를 사이트에 제출합니다(연락처 양식, 사용자 정의 API 엔드포인트 또는 플러그인이 캡처하는 모든 입력 경로를 통해).
- 플러그인은 나중에 WordPress 관리 인터페이스에 표시될 때 HTML을 올바르게 이스케이프하거나 정리하지 않고 해당 입력을 로그 또는 데이터베이스에 기록합니다.
- 관리자는(또는 로그를 보는 다른 권한이 있는 사용자) 브라우저에서 로그 항목을 열고, 브라우저는 관리자의 인증된 세션 컨텍스트에서 악성 스크립트를 실행합니다.
- 그로부터 공격자는:
- 관리자 쿠키 또는 로컬 저장소 토큰을 읽고 유출할 수 있습니다.
- 관리자 세션을 사용하여 새로운 관리자 사용자를 생성하거나 설정을 변경할 수 있습니다.
- 사이트 페이지나 플러그인/테마 파일에 추가 악성 코드를 주입할 수 있습니다.
- 관리 UI에서 사용할 수 있는 작업을 트리거할 수 있습니다(게시물 생성, 설정 편집, 데이터 내보내기).
공격자는 인증되지 않은 상태에서 대규모로 항목을 제출할 수 있기 때문에, 많은 사이트에서 빠르게 시도할 수 있으며, 관리자가 로그 항목을 한 번만 보기를 요구합니다.
관찰된 일반적인 영향 및 그럴듯한 사후 악용 결과
- 관리자 계정 탈취(세션 도난 또는 관리 작업을 통한 강제 비밀번호 변경).
- 백도어 또는 웹 셸 설치.
- 게시물, 댓글 또는 테마 파일에 콘텐츠/SEO 스팸 주입.
- 데이터 유출(사용자 목록, 비공개 콘텐츠, 양식).
- 추가 플러그인, 사용자 정의 코드 또는 예약된 작업(WP-Cron)을 통한 지속적인 접근.
- 평판 손상 및 블랙리스트(검색 엔진, 남용 목록)에 포함될 가능성.
직접적인 사이트 제어가 이루어지지 않더라도, 공격자는 종종 XSS를 활용하여 수평 이동을 합니다 — 예를 들어, 관리자 계정이 손상된 후 더 침습적인 악성 소프트웨어를 배포하기 위해.
로깅 코드에서 저장된 XSS가 일반적인 이유와 근본 원인에 대한 사고 방식
높은 수준에서, 이것은 고전적인 데이터 입력/출력 문제입니다:
- 1. 플러그인은 HTML 또는 기타 구조화된 콘텐츠를 포함할 수 있는 외부 콘텐츠(이메일 본문, 헤더, 메타 필드)를 수용합니다.
- 2. 플러그인은 해당 콘텐츠를 디버깅 또는 감사용으로 데이터베이스 로그에 저장합니다.
- 3. 관리 UI에서 로그 기록을 표시할 때, 플러그인은 적절한 이스케이프/인코딩을 적용하지 않거나 안전한 HTML 정리기를 사용하지 않고 저장된 콘텐츠를 DOM에 직접 출력합니다.
4. 모범 사례는 다음과 같습니다:
- 5. 렌더링 시 출력 이스케이프(저장된 HTML을 신뢰하지 마십시오).
- 6. HTML이 허용되어야 하는 경우, 신뢰할 수 있는 HTML 정리기를 통해 엄격한 허용 목록(속성, 태그)을 사용하여 전달하고 이벤트 핸들러 및 스크립트 가능한 URI를 제거합니다.
- 7. 저장소를 신뢰할 수 없는 것으로 취급하십시오 — 필요할 경우 원시 입력을 저장하되, 표시할 때는 악의적이라고 가정합니다.
8. 탐지 — 사이트에서 찾아야 할 것
9. 이 플러그인(버전 < 2.0.13)을 사용하는 사이트를 운영하는 경우, 즉시 다음을 검토하십시오: 10. 플러그인 로그 항목
- 11. 데이터베이스에서 플러그인의 로그 테이블을 쿼리하고 의심스러운 콘텐츠를 검색합니다: “<script”, “onerror=”, “onload=”, “javascript:” URI의 발생 또는 의심스러운 인코딩된 페이로드(script).
- Query the plugin’s log table(s) in the database and search for suspicious content: occurrences of “<script”, “onerror=”, “onload=”, “javascript:” URIs, or suspicious encoded payloads (script).
- 13. 관리자 세션 및 사용자 변경.
- 14. 예상치 못한 관리자 계정이나 최근 권한 상승을 확인합니다.
- 15. 최근 로그인 및 세션 타임스탬프를 검토합니다 — 이상한 IP 또는 비정상적인 시간에 로그인한 경우를 찾습니다.
- 16. 파일 시스템 무결성.
- 17. 변경하지 않은 최근 수정된 파일이 있는 테마 및 플러그인 디렉토리를 스캔합니다.
- 18. 플러그인/테마 파일에서 무작위 이름의 파일이나 base64 블롭을 찾습니다(종종 웹 셸의 징후).
- 19. 아웃바운드 요청.
- 아웃바운드 요청
- 서버에서 알 수 없는 도메인으로 발생하는 아웃바운드 HTTP(S) 요청에 대한 웹 서버 로그를 검토하십시오 — 공격자는 때때로 홈으로 전화하거나 원격 리소스를 로드합니다.
- 비정상적인 예약 작업
- wp_options에서 예상치 못한 크론 항목이나 wp_cron의 항목을 검사하십시오.
- 자동화된 스캐너 사용
- 알려진 웹 셸, 주입된 JS 또는 악성 PHP 파일을 감지하기 위해 사이트 악성 코드 및 무결성 검사를 실행하십시오. 관리형 WAF 또는 보안 스캐너는 가장 일반적인 아티팩트를 종종 표시할 수 있습니다.
중요 참고 사항: 난독화된 페이로드도 검색하십시오. 공격자는 종종 스크립트 태그를 인코딩하거나 분할합니다(예: “” 주입) — 원시 및 인코딩된 형태 모두에서 스크립트 및 이벤트 속성을 검색하십시오.
즉각적인 완화 조치 (우선순위에 따라 정렬됨)
- 플러그인을 패치하십시오 (권장, 가장 빠르고, 확실한 방법)
- “Check & Log Email”을 버전 2.0.13 이상으로 업데이트하십시오. 이 릴리스는 표시될 때 로그된 내용을 적절하게 처리하고 이스케이프하는 수정 사항을 포함합니다.
- 즉시 업데이트할 수 없는 경우 플러그인을 일시적으로 비활성화하십시오.
- wp-admin에서 플러그인을 비활성화하거나 SFTP/SSH를 통해 플러그인 폴더의 이름을 변경하여 취약한 코드 실행을 중지하십시오.
- 단기 WAF 보호를 적용하십시오.
- 플러그인의 로깅 엔드포인트를 대상으로 하는 명백한 XSS 페이로드 패턴을 포함하는 요청을 차단하는 WAF 규칙을 배포하십시오 (스크립트 태그, javascript: URI, 인라인 이벤트 핸들러).
- 플러그인이 이메일 로그를 기록하는 엔드포인트에 대한 인증되지 않은 제출의 높은 볼륨을 차단하거나 제한하십시오.
- 관리자 노출 제한
- 가능하다면 wp-admin에 대한 접근을 신뢰할 수 있는 IP 범위로 제한하거나 관리자 접근을 위한 허용 목록을 사용하십시오.
- 모든 관리자 및 편집자 계정에 대해 2FA를 요구하십시오.
- 악성 로그 항목을 제거하십시오.
- 플러그인 로그 데이터베이스를 검토하고 정리하십시오: 스크립트 태그나 의심스러운 HTML을 포함하는 항목을 제거하십시오. 포렌식 증거가 필요할 경우 삭제 전에 내보내십시오.
- 자격 증명 회전
- 관리자 사용자 비밀번호와 영향을 받을 수 있는 모든 API 키를 재설정하십시오. 손상이 의심되는 경우, 관리자 또는 서비스에서 사용하는 키를 회전하십시오.
- 모니터링 및 스캔
- 전체 사이트 악성 코드 검사를 수행하고 다음 며칠 동안 반복 검사를 예약하여 잠재적인 임플란트를 감지하십시오.
WAF 규칙 예제 및 실용적인 필터링 가이드
아래는 귀하가 사용해야 할 필터링 및 차단의 개념적 예입니다. 이는 의도적으로 일반적이며 — 귀하의 WAF에 맞게 조정하고 합법적인 트래픽에 대한 잘못된 긍정 반응을 테스트하십시오.
- 제출 엔드포인트에서 일반적인 XSS 패턴을 차단하십시오:
- Block incoming request bodies containing “<script” (case‑insensitive) or encoded variants (script).
- 제출된 HTML에서 문자로 시작하는 “on”으로 시작하는 모든 속성 이름(예: onerror, onclick)의 인라인 이벤트 핸들러를 차단합니다.
- 일반 텍스트나 이메일이 나타나야 하는 곳에서 javascript: URI 및 data: URI를 차단합니다.
- 패턴 매칭 전에 입력을 정규화합니다:
- 많은 페이로드가 인코딩 또는 공백 난독화를 사용합니다. 규칙은 일반 URL 인코딩을 디코딩하고 스캔하기 전에 널을 제거해야 합니다.
- 여러 개의 정규 표현식 검사를 사용합니다: 일반 텍스트, 인코딩된 텍스트 및 base64 감지.
예시 (의사 코드 / 개념적 ModSecurity 스타일):
REQUEST_URI 또는 REQUEST_BODY에 (대소문자 구분 없음) 다음이 포함된 경우:
“<script” OR “script” OR “javascript:” OR “onerror=” OR “onload=” OR “document.cookie”
그러면 차단하고 기록하십시오.
메모: 공격적인 규칙은 합법적인 HTML 콘텐츠를 차단할 수 있습니다(예: HTML이 포함된 이메일). 귀하의 사이트가 일반적으로 로그에 풍부한 HTML을 저장하는 경우, 명백히 스크립트화 가능한 패턴(이벤트 핸들러, 스크립트 태그, js: URI)만 차단하고 경계 사례에 대해 완전히 차단하기보다는 경고를 보내는 것을 선호합니다.
관리형 WAF를 운영하는 경우, 서비스 제공업체에 플러그인의 특정 제출 엔드포인트 및 로그 뷰어 페이지를 대상으로 하는 임시 완화 규칙을 생성하도록 요청하십시오.
귀하의 사이트가 악용되었다고 발견되면 — 사고 대응 플레이북
- 격리하다
- 사이트를 유지 관리 모드로 전환하거나 즉시 wp-admin에 대한 액세스를 제한합니다.
- 증거가 활성 악용을 보여주는 경우 사이트의 임시 복사본을 오프라인으로 고려하십시오.
- 증거 보존
- 사이트를 백업합니다(파일 + 데이터베이스) 및 변경하거나 삭제하기 전에 별도의 포렌식 복사본을 유지합니다. 이는 포렌식 조사자가 공격을 재구성하는 데 도움이 됩니다.
- 분류
- 벡터를 식별합니다(이 취약점은 취약한 플러그인을 실행하고 로그에서 스크립트 내용을 보는 경우 강력한 후보입니다).
- 웹 셸, 무단 관리자 사용자 및 수정된 파일을 검색합니다.
- 유물 제거
- 악성 로그 항목을 제거하고, 주입된 파일 및 백도어를 제거하며, 파일 권한을 강화합니다.
- 관리자 계정이 손상된 경우, 해당 계정을 삭제하거나 차단하고 새 강력한 비밀번호로 새 관리자 계정을 생성합니다.
- 패치
- 취약한 플러그인을 2.0.13 이상으로 업데이트하십시오.
- WordPress 코어, 테마 및 모든 다른 플러그인을 업데이트합니다.
- 자격 증명 및 비밀 회전
- 관리자 비밀번호, 데이터베이스 자격 증명(필요한 경우) 및 모든 API 토큰을 변경하십시오.
- 필요시 재구성하십시오.
- 정교한 침해의 모든 흔적을 자신 있게 제거할 수 없다면, 침해 이전에 생성된 신뢰할 수 있는 백업에서 사이트를 재구축하십시오.
- 사건 후 모니터링
- 사건 발생 후 몇 주 동안 로그, 예약 작업 및 아웃바운드 연결을 모니터링하십시오. 공격자는 때때로 지속성을 재확립하기 위해 예약 작업을 남깁니다.
- 보고 및 공유
- 다중 사이트 환경을 운영하는 경우, 다른 사이트 소유자 및 호스팅 팀에 알리고 스캔 및 패치를 수행하도록 하십시오.
유사한 문제를 방지하기 위한 장기적인 강화
- 최소 권한의 원칙
- 계정에 필요한 권한만 부여하십시오. 관리자 수를 제한하십시오.
- 관리자 접근 제어
- IP 허용 목록, 2FA, 짧은 세션 기간 및 새로운 로그인에 대한 알림.
- 안전한 플러그인 선택
- 최소한의 권한을 가진 잘 관리된 플러그인을 선호하십시오. 플러그인 업데이트 빈도와 변경 로그를 확인하십시오.
- 자동 업데이트 및 패치 관리
- 신뢰하는 플러그인에 대해 마이너 릴리스의 자동 업데이트를 활성화하고, 주요 업데이트를 확인하는 일정을 설정하십시오.
- 정기적인 백업 및 복구 계획
- 오프사이트에 저장된 자동화된 테스트된 백업을 유지하십시오. 복원 연습을 하십시오.
- 지속적인 스캔 및 무결성 검사
- 파일 무결성 모니터링(FIM), 예약된 악성 코드 스캔 및 데이터베이스 감사를 통해 저장 필드에서 예상치 못한 HTML을 찾습니다.
- 관리형 WAF 사용
- 적절하게 구성된 WAF는 공격 표면을 줄이고 엣지에서 대량 악용 캠페인을 차단할 수 있습니다.
- 안전한 개발 관행
- 맞춤형 플러그인을 구축하는 팀을 위해 출력 인코딩, 입력 검증 및 위생/이스케이프에 중점을 둔 코드 리뷰를 요구하십시오.
WP-Firewall이 이러한 종류의 취약성으로부터 보호하는 방법
WP‑Firewall에서는 관리형 WAF와 WordPress 전용으로 구축된 사이트 강화 서비스를 운영합니다. 이러한 취약점이 공개될 때 사이트 소유자에게 가장 큰 도전 과제는 타이밍과 규모입니다:
- 패치가 아직 적용되지 않았을 때 사이트는 즉각적인 보호 계층이 필요합니다.
- 수천 개의 사이트가 공개 몇 시간 내에 대량 스캔 캠페인에서 조사되고 표적이 될 수 있습니다.
WP‑Firewall은 이러한 문제를 계층화된 제어로 해결합니다:
- 플러그인의 엔드포인트를 표적으로 하는 알려진 및 새로운 익스플로잇 패턴을 차단하기 위해 신속하게 배포된 관리형 WAF 규칙 — 플러그인 자체가 아직 업데이트되지 않았더라도.
- 플러그인 로그와 데이터베이스 내에 저장된 스크립트 페이로드를 찾는 악성 코드 스캔 및 일반 웹 셸 탐지.
- 주입된 페이로드가 특권 계정에 의해 실행될 가능성을 줄이기 위한 관리자 접근 강화 및 IP 접근 제어.
- 의심스러운 양식 제출이나 관리자 측 오류가 공개 후 급증할 경우 알림을 받을 수 있도록 자동 모니터링 및 경고.
이러한 제어를 결합하면 대부분의 기회주의적 익스플로잇 시도를 차단할 수 있어 패치 및 안전한 정리를 위한 시간을 확보할 수 있습니다.
몇 분 안에 사이트를 보호하세요 — WP‑Firewall 무료 시작
패치 및 강화하는 동안 즉각적이고 항상 켜져 있는 기본 보호를 원하신다면 WP‑Firewall의 기본(무료) 플랜을 사용해 보세요. 관리형 방화벽 커버리지, 산업 등급 WAF, 무제한 대역폭, 악성 코드 스캐너 및 OWASP Top 10 위험 완화가 포함되어 있습니다 — 플러그인을 업데이트하고 철저한 사고 점검을 수행하는 동안 저장된 XSS 및 유사한 취약점에 대한 노출을 줄이는 데 필요한 모든 것입니다.
여기에서 무료 계획에 가입하십시오: https://my.wp-firewall.com/buy/wp-firewall-free-plan/
(자동 악성 코드 제거, IP 블랙리스트/화이트리스트 제어 또는 월간 보안 보고서가 필요하다면, 표준 및 프로 플랜이 저렴한 연간 요금으로 이러한 기능을 추가합니다.)
실용적인 체크리스트 — 사이트 소유자 및 관리자를 위한 단계별 가이드
- 즉시 (1시간 이내)
- “이메일 확인 및 로그”를 2.0.13으로 업데이트합니다. 업데이트가 불가능한 경우 플러그인을 비활성화합니다.
- 모든 관리자 사용자에 대해 2FA를 활성화합니다.
- WAF 완화 적용 (관련 엔드포인트에서 스크립트 태그 또는 이벤트 속성이 포함된 제출 차단).
- 단기(같은 날)
- 플러그인 로그 및 데이터베이스 테이블 항목에서 스크립트를 검색하고 의심스러운 기록을 제거합니다.
- 관리자 비밀번호 및 공유 비밀을 변경합니다.
- 웹 셸 및 비정상 파일 수정 여부를 스캔합니다.
- 중기 (일)
- 플러그인/WordPress 업데이트 및 백업 일정을 검토하고 배포합니다.
- 이메일 또는 외부 입력과 상호작용하는 사용자 정의 코드에 대한 철저한 보안 감사를 수행합니다.
- 향후 제로데이 노출을 완화하기 위해 관리형 보안 서비스(WAF + 스캐닝)를 활성화하십시오.
- 장기(주/개월)
- 엄격한 플러그인 거버넌스를 구현하십시오: 최소 권한, 코드 검토, 공급업체 검증.
- 프로덕션 전에 업데이트를 테스트하기 위해 스테이징 환경을 사용하십시오.
- 직원과 관리자가 관리 인터페이스에서 사회 공학 및 악성 콘텐츠를 인식하도록 교육하십시오.
자주 묻는 질문
질문. 내 사이트에 플러그인이 있지만 이메일 로깅 UI를 사용하지 않는 경우 여전히 위험에 처해 있습니까?
A. 가능성이 있습니다. 취약점은 플러그인이 외부 콘텐츠를 기록하고 표시하는 방식에 있습니다. 로깅 코드가 모든 제출 엔드포인트에서 실행되고 이스케이프되지 않은 HTML을 저장하면 공격자는 여전히 로그에 기록하고 관리자가 레코드를 검사할 때 페이로드를 트리거할 수 있습니다. 가장 안전한 방법은 업데이트하거나 비활성화하는 것입니다.
질문. 내 사이트가 공격을 받았다면 로그를 정리하는 것으로 충분합니까?
A. 로그를 정리하면 즉시 저장된 페이로드가 제거되지만, 공격자가 권한을 상승시키거나 백도어를 업로드하지 않았는지 확인해야 합니다. 새로운 사용자, 수정된 파일, 예약된 작업 및 아웃바운드 연결을 확인하십시오. 의심스러운 변경 사항이 보이면 위의 사고 대응 단계를 따르십시오.
질문. WAF만으로 공격을 차단할 수 있습니까?
A. WAF는 많은 익스플로잇 시도를 차단하고 패치를 적용하는 동안 공격 표면을 모호하게 만들 수 있지만, WAF는 공급업체 수정 사항을 적용하는 대체 수단이 아닙니다. 즉각적인 완화를 위해 WAF를 사용하고 가능한 한 빨리 패치를 적용하십시오.
마무리 생각
관리자가 볼 수 있는 로그에 영향을 미치는 저장된 XSS 취약점은 신뢰할 수 없는 입력을 특권 사용자를 겨냥한 활성 브라우저 컨텍스트로 전환하기 때문에 교묘하게 강력합니다. 인증되지 않은 제출과 관리 측 렌더링의 조합은 규모와 영향을 높입니다.
귀하의 즉각적인 우선 사항은 플러그인을 2.0.13으로 업데이트하는 것입니다. 패치 및 정리를 준비하는 동안, WAF 보호, 관리 액세스 제어, 스캐닝 및 모니터링, 백업 및 명확한 사고 대응 계획과 같은 다층 방어를 사용하십시오.
완화 규칙을 신속하게 배포하거나 전체 사이트 감사를 실행하거나 지속적인 모니터링을 설정하는 데 도움이 필요하면, WP-Firewall의 무료 티어가 즉각적인 관리형 방화벽 및 스캐닝 커버리지를 제공하므로 즉시 위험을 줄일 수 있습니다.
안전하게 지내십시오 — 그리고 조기에 패치하십시오.
— WP‑Firewall 보안 팀
