워드프레스 ‘엘리멘터 프로’ 취약점 주의

워드프레스 인기 웹사이트 제작 플러그인 엘리멘터 프로(Elementor Pro)에서 공격자가 악성 PHP 파일을 서버에 올려 원격으로 코드를 실행할 수 있는 치명적 취약점이 발견됐다.

취약점은 CVE-2026-32475로, 엘리멘터 프로 4.2.2 이전 버전이 영향을 받는다. 보안업체 패치스택에 따르면 공격에 성공하면 웹사이트 변조나 악성코드 설치, 데이터 탈취 등 추가 공격으로 이어질 수 있다.

파일 검사 허점 이용해 악성 PHP 업로드

취약점은 엘리멘터 프로의 폼(Form) 파일 업로드 기능에서 발견됐다.

문제는 업로드된 파일을 검사하는 과정과 실제 서버에 저장하는 과정이 빈 파일을 서로 다르게 처리한다는 점이다.

공격자는 첫 번째 파일의 이름을 비워 두고 그 뒤에 악성 PHP 파일을 넣어 전송할 수 있다. 이 경우 검증 과정은 첫 번째 빈 파일만 확인하고 종료될 수 있지만, 실제 저장 과정에서는 빈 파일을 건너뛰고 뒤에 있는 악성 PHP 파일을 서버에 저장할 수 있다.

출처 : 데일리시큐(https://www.dailysecu.com)