전 세계 10억 개 이상의 웹사이트를 구동하는 최강의 CMS 워드프레스(WordPress)는 TechCrunch, The New Yorker, Sony, MTV 등 수많은 유명 사이트에서 사용되고 있지만, 웹사이트 보안 측면에서 취약점으로부터 완전히 자유롭지는 못합니다. 최근에는 워드프레스에서 가장 인기 있는 플러그인 중 하나인 WP Statistics에서 결함이 발견되어, 약 30만 개의 웹사이트가 온라인 공격자에게 노출될 위험에 처하게 되었습니다.
WP Statistics 플러그인에서 최근 SQL 인젝션(SQL Injection) 취약점이 발견되었습니다. 이를 악용하면 원격 공격자가 구독자(Subscriber) 수준의 낮은 권한 계정만으로도 웹사이트 데이터베이스에서 민감한 정보를 탈취하고, 나아가 무단으로 접근 권한까지 획득할 수 있습니다. 이 취약점은 '심각(Severe)' 등급으로 분류되었습니다.
기술적 상세 내용
SQL 인젝션은 해커가 데이터베이스 내용을 탈취할 목적으로 사용자 입력값에 SQL(Structured Query Language) 코드를 삽입하는 대표적인 웹 애플리케이션 공격 기법입니다. 이번 취약점은 wp_statistics_searchengine_query()를 포함한 WP Statistics 플러그인의 여러 함수에 존재합니다.
해당 숏코드(shortcode)를 호출하기만 하면 관리자는 방문 횟수에 대한 상세 정보를 얻을 수 있습니다. 숏코드의 일부 속성은 핵심 함수에 매개변수로 전달되기 때문에, 이러한 함수로 들어가는 입력값은 반드시 검증(sanitize) 과정을 거쳐야 합니다. 하지만 실제로는 wp_statistics_searchengine_query() 함수가 워드프레스 코어 함수인 wp_ajax_parse_media_shortcode()를 통해 AJAX 기능으로 외부에서 접근 가능하다는 것이 문제입니다.
문제의 근본적인 원인은 데이터가 쿼리에 삽입될 때 적절히 검증하지 못하는 데 있습니다. 워드프레스는 개발자가 숏코드를 활용해 페이지에 콘텐츠를 삽입할 수 있도록 지원하는데, 아래와 같은 WP Statistics 숏코드에서 보안 문제가 발생합니다:
[shortcode atts_1="test" atts_2="test"]
지금 즉시 업데이트하세요
플러그인은 워드프레스 기반 웹사이트에 다양한 기능을 제공하지만, 이번 취약점은 더 큰 구조적 문제를 보여주는 사례이기도 합니다. 빠른 출시와 시장 선점을 위해 기능 추가에 우선순위를 두다 보면 애플리케이션 보안이 상대적으로 소홀해지는 경우가 많습니다. 워드프레스 보안은 오늘날 결코 가볍게 넘길 수 없는 심각한 이슈입니다.
유일한 해결책은 최신 버전으로 즉시 업데이트하는 것입니다. 워드프레스 웹사이트를 안전하게 보호하고 잠재적 위협을 점검하려면 Astra WordPress Security를 활용해 보세요.